CVE-2026-100623 in Capgo
Résumé
par VulDB • 26/09/2026
Capgo (capgo.app) expose la table de membres héritée public.org_users directement via Supabase PostgREST. Les politiques de sécurité au niveau des lignes de cette table, « Allow org admin to insert » et « Allow org admin to update », vérifient uniquement que l'appelant dispose de droits d'administration dans l'organisation cible (public.check_min_rights('admin', ...)); elles n'exigent pas une invitation en attente dans tmp_users, l'acceptation d'un jeton d'invitation via /private/accept_invitation, aucune action de la part de l'utilisateur cible, ni les vérifications de cohérence des membres/rôles et anti-élévation de privilèges imposées par le chemin de liaison RBAC. Par conséquent, un utilisateur authentifié qui est administrateur d'une organisation peut insérer ou mettre à jour directement des lignes de org_users pour ajouter n'importe quel compte public.users existant en tant que membre actif de cette organisation avec user_right="admin", contournant ainsi entièrement le flux de travail d'invitation et d'attribution de rôle. Lors des tests, un compte sans accès préalable à l'organisation ou à ses applications a pu, après une telle insertion directe, lire les données de l'organisation et de l'application et passer check_min_rights. Toutes les versions sont affectées et aucun correctif n'était disponible au moment de la publication.
If you want to get best quality of vulnerability data, you may have to visit VulDB.