CVE-2026-100616 in capgo.app
요약
\~에 의해 VulDB • 2026. 09. 27.
capgo.app는 Capacitor 앱용 OTA(Over-The-Air) 업데이트 플랫폼입니다. 수정이 적용되기 전의 모든 버전에서, public.orgs 테이블에 대한 row-level security UPDATE 정책은 org.update_settings 권한을 가진 조직 관리자(org admin)가 customer_id라는 내부 청구 포인터 열을 포함한 전체 행을 업데이트할 수 있도록 허용합니다. 공식 조직 업데이트 엔드포인트(supabase/functions/_backend/public/organization/put.ts)는 편집 가능한 설정 필드의 소수만 allowlist에 포함하고 customer_id를 제외하며, 별도의 비공개 Stripe 청구 라우트는 org.update_billing 권한을 요구합니다. Supabase PostgREST로 직접 업데이트 요청을 보내면, org.update_billing 권한이 없는 인증된 조직 관리자가 조직의 Stripe 고객 포인터(null 또는 손상)를 변경할 수 있으며, 이는 orgs.customer_id를 신뢰하는 요금제 및 청구 확인 절차를 실패시켜 해당 조직을 유효한 유료 요금제 상태에서 미결제/요금제 없음 상태로 전환시킵니다. 권고 발표 당시 패치된 버전은 제공되지 않았습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.