CVE-2026-100627 in capgo.app
요약
\~에 의해 VulDB • 2026. 09. 26.
Capgo(Cap-go/capgo.app) 서버 백엔드의 Supabase 함수에는 API 키 번들 프로모션 경로에서 잘못된 권한 부여 결함이 있습니다. "all" 및 "write" API 키에 대해 사용 가능한 PUT /bundle 엔드포인트는 setChannel로 분기되며, 여기서 checkPermission(c, 'channel.promote_bundle', { appId: body.app_id })를 사용하여 인증하지만 요청의 channel_id는 생략됩니다. 누락된 scope 필드가 SQL NULL로서 rbac_check_permission_direct로 전달되고, 채널 범위 재정의 평가가 p_channel_id IS NOT NULL에 의해 차단되므로, 채널별 허용/거부 재평가는 전혀 수행되지 않습니다. 따라서 app-level channel.promote_bundle 권한(기본적으로 app_developer 및 app_uploader 역할에게 부여됨)을 가진 주체는 명시적인 채널별 거부 재정이 존재하는 채널로 번들을 프로모션하여 제공된 channel_id에 대해 public.channels.version을 업데이트할 수 있습니다. 대상 채널은 인증 후에만 유효성 검사가 이루어집니다. 이 문제는 main 브랜치의 commit de66fa51e7ff2f50283cc1455c3d80ab3eb0ae43에서 확인되었으며, 이전 버전에서도 발생할 가능성이 있습니다. 공개 시점에는 패치된 버전이 알려져 있지 않습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.