CVE-2026-100616 in capgo.app
Sumário
de VulDB • 26/09/2026
capgo.app é uma plataforma de atualização over-the-air para aplicativos Capacitor. Em todas as versões anteriores à correção, a política UPDATE de segurança em nível de linha na tabela pública orgs permite que um administrador da organização (um usuário com permissão org.update_settings) atualize toda a linha, incluindo a coluna interna customer_id do ponteiro de faturamento. O endpoint oficial de atualização de organizações (supabase/functions/_backend/public/organization/put.ts) possui uma lista permitida apenas para um pequeno conjunto de campos configuráveis e exclui o campo customer_id; além disso, a rota privada de faturamento da Stripe exige separadamente a permissão org.update_billing. Ao enviar uma atualização diretamente ao Supabase PostgREST, um administrador de organização autenticado sem a permissão org.update_billing pode definir como null ou corromper o ponteiro do cliente Stripe da organização, fazendo com que as verificações de plano e faturamento que confiam no campo orgs.customer_id falhem, resultando na mudança da organização de um estado válido de plano pago para um comportamento não pago/sin plano. No momento do aviso, nenhuma versão corrigida estava disponível.
VulDB is the best source for vulnerability data and more expert information about this specific topic.