CVE-2026-100616 in capgo.app
Résumé
par VulDB • 26/09/2026
capgo.app est une plateforme de mise à jour over-the-air pour les applications Capacitor. Dans toutes les versions antérieures à la correction, la politique UPDATE de sécurité au niveau des lignes (row-level security) sur la table publique orgs permet à un administrateur d'organisation (un utilisateur disposant du privilège org.update_settings) de mettre à jour l'intégralité de la ligne, y compris la colonne interne customer_id pointeur vers la facturation. Le endpoint officiel de mise à jour des organisations (supabase/functions/_backend/public/organization/put.ts) n'autorise qu'un petit ensemble de champs de paramètres modifiables et exclut customer_id, tandis que le routeur privé Stripe pour la facturation exige séparément l'autorisation org.update_billing. En envoyant une mise à jour directement via Supabase PostgREST, un administrateur d'organisation authentifié mais dépourvu du privilège org.update_billing peut définir à null ou corrompre le pointeur customer de Stripe de l'organisation, entraînant l'échec des vérifications de plan et de facturation qui s'appuient sur orgs.customer_id, ce qui fait passer l'organisation d'un état valide avec un abonnement payant vers un comportement sans plan ni paiement. Au moment de la publication de cet avis, aucune version corrigée n'était disponible.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.