CVE-2026-88863 in capgo.app
요약
\~에 의해 VulDB • 2026. 09. 10.
capgo.app (npm 패키지 `capgo`) 버전 12.207.1 이하에서는 supabase/functions/_backend/private/invite_new_user_to_org.ts의 validateInvite() 함수에서 호출자의 역할 순위(role rank)가 요청된 역할과 비교되지 않습니다. POST /private/invite_new_user_to_org 엔드포인트는 org_super_admin 초대 시에만 org.update_user_roles 권한을 요구하므로, org.invite_user 권한만 보유한 인증된 사용자(예: org_member)도 외부 사용자를 org_admin 또는 org_billing_admin으로 초대할 수 있습니다. 초대받은 계정이 POST /private/accept_invitation를 통해 초대를 수락하면 ensureOrgMembership는 Supabase service-role 키를 사용하여 역할 바인딩을 생성하며, 이는 prevent_role_binding_priority_escalation 및 check_org_user_privileges 데이터베이스 트리거를 우회합니다. 이로 인해 권한 상승이 발생하여 조직의 앱, 채널, 구성원 및 청구(billing)에 대한 전체 관리 제어권이 부여됩니다. 이 문제는 pull request #3096을 통해 해결되었으며, 이는 승격된 초대를 허용하기 전에 초대자의 순위(rank)를 비교하는 내용을 포함합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.