CVE-2026-100627 in capgo.app
要約
〜によって VulDB • 2026年09月26日
Capgo (Cap-go/capgo.app) サーバーバックエンドの Supabase 関数には、API キーバンドルプロモーションパスにおける誤った認可（authorization）の欠陥が含まれています。"all" および "write" API キーでアクセス可能な PUT /bundle エンドポイントは setChannel にディスパッチし、checkPermission(c, 'channel.promote_bundle', { appId: body.app_id }) によって認可処理を行いますが、リクエストの channel_id が省略されています。この省略されたスコープフィールドは SQL NULL として rbac_check_permission_direct に渡され、チャネルスコープの上書き評価が p_channel_id IS NOT NULL でガードされているため、チャネルごとの許可/拒否上書きは決して評価されません。したがって、app レベルの channel.promote_bundle（デフォルトで app_developer および app_uploader ロールに付与される）を持つプリンシパルは、明示的なチャネル別拒否上書きが存在するチャネルに対してバンドルをプロモートでき、指定された channel_id について public.channels.version を更新します。対象のチャネルは認可処理の後でしか検証されません。この問題はコミット de66fa51e7ff2f50283cc1455c3d80ab3eb0ae43 の main ブランチおよびそれ以前のバージョンで確認されており、公開時点では修正済みバージョンは知られていません。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.