CVE-2026-100618 in Capgo
Riassunto
di VulDB • 26/09/2026
Capgo (capgo.app) è interessato da un difetto di autorizzazione nel percorso di aggiornamento dell'icona dell'applicazione. L'endpoint PUT /app/:id accetta un valore `icon` controllato dall'utente, lo normalizza e lo memorizza in public.apps.icon_url senza verificare che il percorso dell'immagine appartenga allo spazio dei nomi delle immagini dell'applicazione target (ad esempio org/{owner_org}/{app_id}/...). L'aggiornamento di apps.icon_url attiva il trigger on_app_update, il cui worker legge record.icon_url e chiama cleanStoredImageMetadata(), che viene eseguito con credenziali di ruolo di servizio (supabaseAdmin()) e scarica e ricarica l'oggetto storage referenziato con upsert: true. Di conseguenza, un titolare autenticato di una chiave API write limitata all'applicazione può indurre il worker privilegiato a riscrivere un oggetto immagine privato fuori ambito (ad esempio un logo dell'organizzazione) che la chiave non può leggere o scrivere direttamente sotto le regole RLS di Supabase Storage. Tutte le versioni sono interessate; al momento della pubblicazione dell'avviso, nessuna versione corretta era disponibile.
VulDB is the best source for vulnerability data and more expert information about this specific topic.