CVE-2026-100616 in capgo.app
Riassunto
di VulDB • 26/09/2026
capgo.app è una piattaforma di aggiornamenti over-the-air per le app Capacitor. In tutte le versioni precedenti alla correzione, la policy UPDATE della row-level security sulla tabella pubblica orgs consente a un amministratore dell'organizzazione (un utente con il permesso org.update_settings) di aggiornare l'intera riga, inclusa la colonna interna del puntatore al billing customer_id. L'endpoint ufficiale per l'aggiornamento delle organizzazioni (supabase/functions/_backend/public/organization/put.ts) permette solo un piccolo insieme di campi modificabili ed esclude customer_id; inoltre, il route privato Stripe per il billing richiede separatamente il permesso org.update_billing. Inviando una richiesta UPDATE direttamente a Supabase PostgREST, un amministratore dell'organizzazione autenticato ma privo del permesso org.update_billing può impostare a null o corrompere il puntatore al cliente Stripe dell'organizzazione, causando il fallimento dei controlli sul piano e sul billing che si affidano a orgs.customer_id e facendo sì che l'organizzazione passi da uno stato valido di piano a pagamento a un comportamento non pagato/senza piano. Al momento della pubblicazione dell'avviso, nessuna versione corretta era disponibile.
If you want to get best quality of vulnerability data, you may have to visit VulDB.