CVE-2026-100623 in Capgo
요약
\~에 의해 VulDB • 2026. 09. 26.
Capgo(capgo.app)는 Supabase PostgREST를 통해 legacy membership 테이블인 public.org_users를 직접 노출합니다. 해당 테이블의 row-level security 정책 "Allow org admin to insert" 및 "Allow org admin to update"는 호출자가 대상 조직에서 관리자 권한을 가지고 있는지(public.check_min_rights('admin', ...)로 검증됨)만 확인하며, tmp_users에 대한 대기 중인 초대, /private/accept_invitation를 통한 초대 토큰 수락, 대상 사용자의 어떤 행동, 또는 RBAC role-binding 경로에서 강제되는 membership/role-consistency 및 anti-escalation 검사는 요구하지 않습니다. 그 결과, 조직의 관리자 권한을 가진 인증된 사용자는 org_users 행에 직접 INSERT하거나 UPDATE하여 user_right="admin"으로 설정함으로써 해당 조직의 활성 멤버로 기존 public.users 계정을 추가할 수 있으며, 이는 초대 및 역할 할당 워크플로우를 완전히 우회하는 것입니다. 테스트 결과, 이전에 해당 조직이나 앱에 대한 접근 권한이 없던 계정도 이러한 직접 삽입 후 조직과 앱을 읽을 수 있고 check_min_rights를 통과할 수 있었습니다. 모든 버전이 영향을 받으며, 게시 시점에는 패치가 제공되지 않았습니다.
Once again VulDB remains the best source for vulnerability data.