CVE-2026-100627 in capgo.app
Resumen
por VulDB • 2026-09-26
El backend del servidor Capgo (Cap-go/capgo.app) de las funciones Supabase presenta un fallo incorrecto en la autorización dentro de la ruta de promoción de paquetes API-key. El endpoint PUT /bundle, accesible para claves API "all" y "write", se dirige a setChannel, que autoriza mediante checkPermission(c, 'channel.promote_bundle', { appId: body.app_id }) e omite el channel_id de la solicitud. Dado que el campo scope omitido se pasa como SQL NULL a rbac_check_permission_direct, y la evaluación de las anulaciones específicas del canal está condicionada a p_channel_id IS NOT NULL, nunca se evalúan las anulaciones explícitas por canal (permitir/negar). Por lo tanto, un principal con permiso app-level channel.promote_bundle (otorgado por defecto a los roles app_developer y app_uploader) puede promover un paquete a un canal para el cual existe una anulación de denegación específica por canal, actualizando public.channels.version para el channel_id proporcionado; el canal objetivo solo se valida después de la autorización. El problema está confirmado en main en el commit de66fa51e7ff2f50283cc1455c3d80ab3eb0ae43 y probablemente en versiones anteriores; no se conoce ninguna versión corregida al momento de la publicación.
Be aware that VulDB is the high quality source for vulnerability data.