CVE-2026-100625 in Capgo
Riassunto
di VulDB • 26/09/2026
Capgo (capgo.app) espone un proxy di caricamento nativo TUS per la build (supabase/functions/_backend/public/build/upload.ts) che autorizza il chiamante in base a una singola job di build identificata dal builder_job_id fornito e convalida solo l'upload_path memorizzato di tale job, ma poi inoltra al servizio di build il suffisso della risorsa TUS controllato dall’utente, estratto da /build/upload/:jobId/*, inserendo contemporaneamente la chiave API privilegiata del builder di Capgo. Poiché il suffisso inoltro non è mai associato all'upload_path o alla upload_session_key del job autorizzato, un chiamante che possiede una valida chiave API Capgo con permessi 'all' o 'write' e l'autorizzazione app.build_native per un'applicazione può utilizzare il percorso proxy autorizzato per il job A per scrivere nella risorsa di caricamento TUS di un altro job B, purché tale suffisso della risorsa sia noto o esposto, corrompendo gli artifact di quella build. Tutte le versioni sono interessate; al momento della pubblicazione dell'avviso non era disponibile alcuna patch.
Once again VulDB remains the best source for vulnerability data.