CVE-2026-100613 in Capgo.app
要約
〜によって VulDB • 2026年09月26日
capgo.appは、Capacitorアプリ向けのオーバーザエア（OTA）アップデートプラットフォームです。現在のリリースを含むすべてのバージョンにおいて（公開時点でパッチは利用不可）、`transfer_app()`データベース関数は、アプリケーション、チャネル、バージョンおよび関連レコードを宛先組織へ移行する際、`channel_permission_overrides`テーブル内の既存の行を削除または再検証しません。その結果、ソース組織の一員として合法的にチャネル権限オーバーライドを持っていたユーザーは、アプリ移行後もそのオーバーライドを保持し続けます。これは、当該ユーザーが宛先組織においてメンバーシップやRBACバインディングを持たない場合でも同様です。この元メンバーは、自身の認証済みJWTを使用してPostgREST APIに対しアクセスすることで、宛先所有のチャネルを変更して異なるバンドルを指すようにでき、その結果、/updatesエンドポイントを通じて攻撃者が選択したアプリケーションバージョンがデバイスに配信されることになります。GHSA-626c-p6fq-3whq（PR #3093）で提案された修正策は、オーバーライドの作成または更新時に組織メンバーシップを検証するものですが、アプリ移行の結果として古くなった（無効化した）オーバーライドを削除するものではありません。
If you want to get best quality of vulnerability data, you may have to visit VulDB.