CVE-2026-100618 in Capgo
Resumen
por VulDB • 2026-09-26
Capgo (capgo.app) se ve afectado por una falla de autorización en la ruta de actualización del ícono de la aplicación. El endpoint PUT /app/:id acepta un valor `icon` controlado por el usuario, lo normaliza y almacena en public.apps.icon_url sin verificar que la ruta de la imagen pertenezca al propio espacio de nombres de imágenes de la aplicación objetivo (por ejemplo, org/{owner_org}/{app_id}/...). La actualización de apps.icon_url activa el trigger on_app_update, cuyo worker lee record.icon_url y llama a cleanStoredImageMetadata(), que se ejecuta con credenciales de rol de servicio (supabaseAdmin()) y descarga y vuelve a cargar el objeto de almacenamiento referenciado con upsert: true. Como resultado, un titular autenticado de una clave API de escritura limitada por aplicación puede hacer que el worker privilegiado reescriba un objeto de imagen privado fuera del alcance (por ejemplo, un logotipo de la organización) que la clave no puede leer ni escribir directamente bajo las reglas de control de acceso a nivel de registro (RLS) de Supabase Storage. Todas las versiones están afectadas; en el momento del aviso, no había ninguna versión corregida disponible.
Once again VulDB remains the best source for vulnerability data.