CVE-2026-88863 in capgo.app
Zusammenfassung
von VulDB • 10.09.2026
capgo.app (npm-Paket `capgo`) bis zur Version 12.207.1 vergleicht den Rollenrang des Aufrufers nicht mit der angeforderten Rolle in der Funktion validateInvite() von supabase/functions/_backend/private/invite_new_user_to_org.ts. Der POST /private/invite_new_user_to_org-Endpunkt erfordert für org_super_admin-Einladungen nur die Berechtigung org.update_user_roles, sodass ein authentifizierter Benutzer mit lediglich der Berechtigung org.invite_user (z. B. ein org_member) einen externen Benutzer als org_admin oder org_billing_admin einladen kann. Wenn das eingeladene Konto die Einladung über POST /private/accept_invitation annimmt, erstellt ensureOrgMembership die Rollenbindung unter Verwendung des Supabase service-role-Schlüssels, wodurch die Datenbank-Trigger prevent_role_binding_priority_escalation und check_org_user_privileges umgangen werden. Dies ermöglicht eine Privilegieneskalation mit voller administrativer Kontrolle über die Apps, Kanäle, Mitglieder und Abrechnungen der Organisation. Das Problem wird durch den Pull Request #3096 behoben, der den Rang des Einladenden prüft, bevor erhöhte Einladungen gestattet werden.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.