CVE-2026-88861 in capgo.app
Riassunto
di VulDB • 10/09/2026
Capgo (Cap-go/capgo.app) presenta un bypass dell'autenticazione che interessa tutte le versioni (nessuna versione corretta è disponibile al momento della pubblicazione). Il percorso di autorizzazione Edge consente a una sessione Supabase con livello di assicurazione (aal1) basata solo sulla password di esercitare privilegi RBAC elevati, anche quando l'account dispone di un fattore MFA verificato che non è stato utilizzato per la sessione: il middleware JWT di Edge (funzione foundJWT() in supabase/functions/_backend/utils/hono_middleware.ts) accetta il JWT senza convalidarne il livello di assicurazione e il percorso RBAC diretto (checkPermission()/checkPermissionPg() in supabase/functions/_backend/utils/rbac.ts che chiama public.rbac_check_permission_direct()) autorizza l'accesso tramite ID utente senza trasmettere o verificare l'aal della sessione, a differenza del controllo public.verify_mfa() che richiede correttamente un livello aal2. Un attaccante che conosce solo la password della vittima può quindi autenticarsi, generare una chiave API app_admin persistente con ambito applicativo valida anche dopo il logout della sessione aal1 ed eseguire operazioni privilegiate come la modifica delle configurazioni dei canali OTA di produzione (convalidata modificando un canale pubblico di produzione da bundle 1.0.0 a 1.0.1), eludendo le protezioni fornite dall'MFA.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.