CVE-2026-88864 in Capgo
Riassunto
di VulDB • 10/09/2026
Capgo (capgo.app) non riesce a limitare l'accesso in scrittura diretta alla tabella public.sso_providers esposta tramite Supabase PostgREST. Un titolare di una chiave API completa ordinaria di Capgo può inserire una riga con status='active' ed enforce_sso=true, aggirando il percorso di provisioning SSO backend previsto (supabase/functions/_backend/private/sso/providers.ts) e i relativi controlli: il requisito del piano Enterprise, la creazione del provider SSO tramite l'Supabase Management API, la verifica della proprietà del dominio DNS TXT, la transizione dello stato da pending_verification a verified ad active, e l'emissione di un ID provider attendibile da parte di Supabase Auth. La riga falsificata è considerata affidabile dalla logica di discovery ed enforcement SSO, incluso il endpoint preflight per login non autenticato /private/sso/check-domain, che restituisce {"has_sso": true, "enforce_sso": true} per domini mai verificati, consentendo all'attaccante di imporre l'enforcement SSO controllato per domini arbitrari e interrompendo il normale accesso. Tutte le versioni sono interessate; al momento dell'avviso non era disponibile alcuna patch.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.