CVE-2026-100616 in capgo.app
要約
〜によって VulDB • 2026年09月26日
capgo.appはCapacitorアプリ向けのオーバーザエア（OTA）アップデートプラットフォームです。修正が行われるまでの全バージョンにおいて、public.orgsテーブルの行レベルセキュリティUPDATEポリシーにより、組織管理者（org.update_settings権限を持つユーザー）が内部課金ポインター列であるcustomer_idを含む行全体を更新できます。公式な組織更新エンドポイント（supabase/functions/_backend/public/organization/put.ts）は編集可能な設定フィールドのごく一部のみをホワイトリスト化しており、customer_idは除外されています。また、プライベートStripeの課金ルートでは別途org.update_billing権限が要求されます。Supabase PostgRESTに対して直接アップデートを送信することで、org.update_billing権限を持たない認証済み組織管理者は、組織のStripe顧客ポインターをnullにしたり壊したりでき、orgs.customer_idを信頼するプランおよび課金チェックが失敗し、組織の有料プラン状態から未払い/プランなしの状態へ移行します。アドバイザリ公開時点ではパッチ版は利用できませんでした。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.