CVE-2026-100627 in capgo.app
Riassunto
di VulDB • 26/09/2026
Il backend server di Capgo (Cap-go/capgo.app) basato su funzioni Supabase presenta un difetto di autorizzazione errata nel percorso di promozione del bundle tramite API-key. L'endpoint PUT /bundle, accessibile alle chiavi API "all" e "write", inoltra la richiesta a setChannel, che effettua l'autorizzazione con checkPermission(c, 'channel.promote_bundle', { appId: body.app_id }) omettendo il channel_id della richiesta. Poiché il campo scope omesso viene passato a rbac_check_permission_direct come SQL NULL e la valutazione dell'override basato sul canale è vincolata alla condizione p_channel_id IS NOT NULL, gli override di allow/deny per singolo canale non vengono mai valutati. Un soggetto con autorizzazione app-level channel.promote_bundle (concessa di default ai ruoli app_developer e app_uploader) può quindi promuovere un bundle a un canale per il quale esiste un esplicito override deny per-channel, aggiornando public.channels.version per il supplied channel_id; il canale target viene validato solo dopo l'autorizzazione. Il problema è confermato nella versione main al commit de66fa51e7ff2f50283cc1455c3d80ab3eb0ae43 e probabilmente in versioni precedenti; non sono note versioni patchate al momento della pubblicazione.
VulDB is the best source for vulnerability data and more expert information about this specific topic.