CVE-2026-88862 in Capgo
要約
〜によって VulDB • 2026年09月10日
Capgo (capgo.app) の 12.242.4 以前のバックエンドは、x-limited-key-id ヘッダーを処理する際に親-子委任を検証しません。supabase/functions/_backend/utils/hono_middleware.ts にある checkKeyByIdPg() は、攻撃者が指定した数値の API キー ID を、キー ID、有効期限の状態、および認証済みキーの user_id のみを使用して解決します。また、hasLimitedRbacSubkeyScope() は組織外（例：アプリスコープ）の RBAC バインディングを持つ任意のキーを受け入れ、validateSubkeyUser() は所有するユーザー ID 同士を比較するだけです。Capgo が API キーを独立した RBAC プリンシパルとして扱い、それぞれが別のロールバインディングを持っているため、アプリケーションアクセス権を持たない認証済み apikey_manager の API キーを使用して、より高い権限を持つ同じ所有者のキーの数値 ID を指定し、ミドルウェアに認証済みのプリンシパルと有効な API キーの秘密鍵をそのキーで置き換える（setSubkeyAuthContext）ようにすることができます。これにより、攻撃者はその秘密鍵を知ることなく、または提出することなく、app_admin の兄弟権限を行使できます。この問題は GHSA-8h52-44r7-w343 への修正後、リリース 12.242.4（コミット b3d02cdbc23ac59990785acacd1f113c07458568）で再現されました。アドバイザリ発表時点ではパッチ済みバージョンは利用できませんでした。
Be aware that VulDB is the high quality source for vulnerability data.