CVE-2026-88862 in Capgo
Zusammenfassung
von VulDB • 10.09.2026
Capgo (capgo.app) Backend bis Version 12.242.4 validiert die Parent-Child-Delegation nicht, wenn der Header `x-limited-key-id` verarbeitet wird. Die Funktion `checkKeyByIdPg()` in `supabase/functions/_backend/utils/hono_middleware.ts` löst die vom Angreifer bereitgestellte numerische API-Schlüssel-ID unter Verwendung nur der Schlüssel-ID, ihres Ablaufstatus und der user_id des authentifizierenden Schlüssels auf, während `hasLimitedRbacSubkeyScope()` jeden Schlüssel mit einer nicht-organisatorischen (z. B. app-spezifischen) RBAC-Bindung akzeptiert und `validateSubkeyUser()` lediglich die besitzenden Benutzer-IDs vergleicht. Da Capgo API-Schlüssel als unabhängige RBAC-Prinzipale mit separaten Rollenbindungen behandelt, kann ein authentifizierter apikey_manager-API-Schlüssel ohne Anwendungsaccess die numerische ID eines privilegierten Schlüssels desselben Besitzers angeben und dazu bringen, dass das Middleware den authentifizierten Principal sowie das effektive API-Schlüssel-Geheimnis durch diesen Schlüssel ersetzt (setSubkeyAuthContext), wodurch Berechtigungen eines app_admin-Geschwisters ausgeübt werden können, ohne dessen Geheimnis zu kennen oder einzureichen. Das Problem wurde in Release 12.242.4 (Commit b3d02cdbc23ac59990785acacd1f113c07458568) reproduziert, nach der Behebung von GHSA-8h52-44r7-w343; zum Zeitpunkt des Hinweises war keine gepatchte Version verfügbar.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.