CVE-2026-100612 in Capgo
Sumário
de VulDB • 26/09/2026
O Capgo (capgo.app) até a versão 12.261.0 contém uma correção incompleta de controle de acesso para a tabela public.sso_providers. A migração 20260826100000_sso_providers_block_direct_active_insert.sql instala um guardiã BEFORE UPDATE (enforce_sso_provider_client_update_guard()) que congela apenas as colunas dns_verified_at, domain, status e enforce_sso; a provider_id (assim como metadata_url e attribute_mapping) permanece gravável. Como a tabela concede permissões ALL para os roles anon e authenticated sem restrição em nível de coluna, e as políticas de segurança em nível de linha do PostgreSQL, como allow_org_admins_update_sso_providers, restringem apenas qual linha pode ser atualizada e não quais colunas, um usuário com a permissão org.update_settings no tier org_admin pode PATCH a provider_id via PostgREST para um provedor de identidade sob seu controle. Como a provider_id é o anchor de confiança que vincula um domínio de email a um IdP autorizado, o atacante pode então autenticar-se através do próprio IdP enquanto afirma ser o proprietário da organização; a correspondência do provedor no lado do servidor tem sucesso e a rotina de merge anexa a identidade SSO do atacante à conta existente do proprietário, nula sua senha e exclui suas outras identidades e sessões. Isso resulta em escalonamento vertical de privilégios de org_admin para org owner/super_admin, takeover da conta e bloqueio do legítimo proprietário. A exploração requer que a organização alvo tenha um provedor SSO ativo configurado e que o atacante já possua permissão org_admin nessa organização. Nenhuma versão corrigida está disponível.
If you want to get best quality of vulnerability data, you may have to visit VulDB.