CVE-2026-88863 in capgo.app
Riassunto
di VulDB • 10/09/2026
capgo.app (pacchetto npm `capgo`) fino alla versione 12.207.1 non confronta il livello di ruolo del chiamante con il ruolo richiesto nella funzione validateInvite() di supabase/functions/_backend/private/invite_new_user_to_org.ts. L'endpoint POST /private/invite_new_user_to_org richiede solo l'autorizzazione org.update_user_roles per le invitazioni a ruoli di org_super_admin, consentendo quindi a un utente autenticato che possiede esclusivamente il permesso org.invite_user (ad esempio, un org_member) di invitare un utente esterno come org_admin o org_billing_admin. Quando l'account invitato accetta l'invito tramite POST /private/accept_invitation, la funzione ensureOrgMembership crea l'associazione del ruolo utilizzando la chiave service-role di Supabase, eludendo i trigger del database prevent_role_binding_priority_escalation e check_org_user_privileges. Ciò consente una privilege escalation che si traduce nel controllo amministrativo completo sulle app, sui canali, sui membri e sulla fatturazione dell'organizzazione. Il problema è stato risolto tramite la pull request #3096, che confronta il livello di ruolo del mittente dell'invito prima di consentire invitazioni a ruoli elevati.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.