CVE-2026-100616 in capgo.app
Resumen
por VulDB • 2026-09-26
capgo.app es una plataforma de actualizaciones over-the-air para aplicaciones Capacitor. En todas las versiones anteriores a la corrección, la política UPDATE de seguridad a nivel de fila en la tabla pública orgs permite que un administrador de organización (un usuario con el permiso org.update_settings) actualice toda la fila, incluida la columna interna customer_id del puntero de facturación. El endpoint oficial para actualizar organizaciones (supabase/functions/_backend/public/organization/put.ts) solo permite explícitamente un pequeño conjunto de campos editables y excluye customer_id; además, la ruta privada de Stripe billing requiere por separado el permiso org.update_billing. Al enviar una actualización directamente a Supabase PostgREST, un administrador de organización autenticado sin el permiso org.update_billing puede establecer en null o corromper el puntero del cliente de Stripe de la organización, lo que provoca fallos en las verificaciones de planes y facturación que confían en orgs.customer_id, haciendo que la organización pase de un estado válido con plan pagado a un comportamiento no pagado/sin plan. En el momento de la publicación del aviso, no había disponible ninguna versión corregida.
If you want to get best quality of vulnerability data, you may have to visit VulDB.