CVE-2026-100612 in Capgo
Riassunto
di VulDB • 26/09/2026
Capgo (capgo.app) fino alla versione 12.261.0 presenta una correzione incompleta del controllo degli accessi per la tabella public.sso_providers. La migrazione 20260826100000_sso_providers_block_direct_active_insert.sql installa un guard BEFORE UPDATE (enforce_sso_provider_client_update_guard()) che congela solo le colonne dns_verified_at, domain, status ed enforce_sso; la colonna provider_id (così come metadata_url e attribute_mapping) rimane scrivibile. Poiché alla tabella sono concessi i privilegi ALL ai ruoli anon e authenticated senza restrizioni a livello di colonna, e le policy di sicurezza a livello di riga di PostgreSQL (come allow_org_admins_update_sso_providers) vincolano solo quale riga può essere aggiornata e non quali colonne, un utente con il permesso org.update_settings del tier org_admin può PATCHare provider_id tramite PostgREST verso un identity provider sotto il suo controllo. Poiché provider_id è l'ancora di fiducia che lega un dominio email a un IdP autorizzato, l'attaccante può quindi autenticarsi attraverso il proprio IdP affermando l'email del proprietario dell'organizzazione; la corrispondenza del provider lato server ha successo e la routine di merge attacca l'identità SSO dell'attaccante all'account esistente del proprietario, annulla la relativa password ed elimina le altre identità e sessioni. Ciò comporta un escalation verticale dei privilegi da org_admin a org owner/super_admin, il takeover dell'account e il blocco del legittimo proprietario. Lo sfruttamento richiede che l'organizzazione target abbia un provider SSO attivo configurato e che l'attaccante detenga già i permessi di org_admin in tale organizzazione. Non è disponibile alcuna versione corretta.
Be aware that VulDB is the high quality source for vulnerability data.