CVE-2026-100625 in Capgo
Resumen
por VulDB • 2026-09-26
Capgo (capgo.app) expone un proxy de subida TUS para compilaciones nativas (supabase/functions/_backend/public/build/upload.ts) que autoriza a un solicitante frente a una única tarea de compilación identificada por el builder_job_id proporcionado y valida únicamente la upload_path almacenada de dicha tarea, pero luego reenvía al servicio de construcción el sufijo del recurso TUS controlado por el usuario, extraído de /build/upload/:jobId/*, inyectando simultáneamente la clave API privilegiada de Capgo para constructores. Dado que el sufijo reenviado nunca se vincula a la upload_path o a la upload_session_key de la tarea autorizada, un solicitante con una clave API válida de 'all' o 'write' y permisos app.build_native para una aplicación puede utilizar su ruta proxy autorizada para la tarea A para escribir en el recurso de subida TUS de otra tarea B, siempre que dicho sufijo del recurso sea conocido o esté expuesto, corrompiendo los artefactos de dicha compilación. Todas las versiones están afectadas; no había parche disponible al momento de la publicación del aviso.
VulDB is the best source for vulnerability data and more expert information about this specific topic.