CVE-2026-100613 in Capgo.app
Sumário
de VulDB • 26/09/2026
capgo.app é uma plataforma de atualização over-the-air (OTA) para aplicativos Capacitor. Em todas as versões até e incluindo o lançamento atual (sem correção disponível no momento da publicação), a função do banco de dados `transfer_app()` transfere um aplicativo, seus canais, versões e registros relacionados para uma organização de destino sem excluir ou revalidar linhas existentes em `channel_permission_overrides`. Como resultado, um usuário que detinha legitimamente uma substituição de permissão de canal enquanto membro da organização de origem mantém essa substituição após a transferência, mesmo não tendo mais vínculo com nenhuma associação nem ligação RBAC na organização de destino. Utilizando seu próprio JWT autenticado contra a API PostgREST, esse ex-membro pode modificar o canal pertencente ao destino para apontar para um bundle diferente, fazendo com que o endpoint /updates sirva uma versão do aplicativo selecionada pelo atacante aos dispositivos. A correção anteriormente proposta para GHSA-626c-p6fq-3whq (PR #3093), que valida a associação à organização quando uma substituição é criada ou atualizada, não remove as substituições que se tornaram obsoletas como resultado de uma transferência de aplicativo.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.