CVE-2026-100618 in Capgo
Résumé
par VulDB • 26/09/2026
Capgo (capgo.app) est vulnérable à une faille d'autorisation dans le chemin de mise à jour des icônes d'application. Le point de terminaison PUT /app/:id accepte une valeur `icon` contrôlée par l'utilisateur, la normalise et la stocke dans public.apps.icon_url sans vérifier que le chemin de l'image appartient au namespace d'images propre à l'application cible (par exemple org/{owner_org}/{app_id}/...). La mise à jour des apps.icon_url déclenche le trigger on_app_update, dont le worker lit record.icon_url et appelle cleanStoredImageMetadata(), qui s'exécute avec les identifiants de rôle de service (supabaseAdmin()) et télécharge puis ré-upload l'objet de stockage référencé avec upsert: true. Par conséquent, un détenteur authentifié d'une clé API en écriture limitée à une application peut amener le worker privilégié à réécrire un objet image privé hors du périmètre autorisé (par exemple, un logo d'organisation) que la clé ne peut ni lire ni écrire directement sous les règles de contrôle d'accès aux lignes (RLS) de Supabase Storage. Toutes les versions sont concernées ; aucune version corrigée n'était disponible au moment de l'avis.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.