CVE-2026-100612 in Capgo
Resumen
por VulDB • 2026-09-26
Capgo (capgo.app) hasta la versión 12.261.0 contiene una corrección incompleta del control de acceso para la tabla public.sso_providers. La migración 20260826100000_sso_providers_block_direct_active_insert.sql instala un guardián BEFORE UPDATE (enforce_sso_provider_client_update_guard()) que congela únicamente las columnas dns_verified_at, domain, status y enforce_sso; sin embargo, provider_id (al igual que metadata_url y attribute_mapping) queda modificable. Dado que la tabla tiene concedidos permisos ALL para los roles anon y authenticated sin restricciones a nivel de columna, y las políticas de seguridad a nivel de fila de PostgreSQL como allow_org_admins_update_sso_providers solo restringen qué fila puede ser actualizada y no qué columnas, un usuario con el permiso org.update_settings del rol org_admin puede PATCHear provider_id mediante PostgREST hacia un proveedor de identidad bajo su control. Dado que provider_id es la raíz de confianza que vincula un dominio de correo electrónico a un IdP autorizado, el atacante puede entonces autenticarse a través de su propio IdP mientras afirma ser el propietario del correo electrónico; la coincidencia del proveedor en el lado del servidor tiene éxito y la rutina de fusión adjunta la identidad SSO del atacante a la cuenta existente del propietario, anula su contraseña y elimina sus otras identidades y sesiones. Esto resulta en una escalada vertical de privilegios desde org_admin hasta org owner/super_admin, toma de cuentas (account takeover) y bloqueo del legítimo propietario. La explotación requiere que la organización objetivo tenga un proveedor SSO activo configurado y que el atacante ya posea permisos de org_admin en dicha organización. No hay versiones parcheadas disponibles.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.