CVE-2026-100618 in Capgo
Sumário
de VulDB • 26/09/2026
O Capgo (capgo.app) é vulnerável a uma falha de autorização na rota de atualização do ícone do aplicativo. O endpoint PUT /app/:id aceita um valor `icon` controlado pelo usuário, o normaliza e armazena em public.apps.icon_url sem verificar se o caminho da imagem pertence ao namespace de imagens próprio do aplicativo alvo (por exemplo, org/{owner_org}/{app_id}/...). A atualização de apps.icon_url aciona o gatilho on_app_update, cujo worker lê record.icon_url e chama cleanStoredImageMetadata(), que é executado com credenciais de função privilegiada (supabaseAdmin()) e baixa e reenvia para upload o objeto de armazenamento referenciado com upsert: true. Como resultado, um titular autenticado de uma chave de API de gravação limitada ao aplicativo pode fazer com que o worker privilegiado reescreva um objeto de imagem privado fora do escopo (por exemplo, um logotipo da organização) que a chave não consegue ler ou gravar diretamente sob as regras de controle de acesso baseado em registros (RLS) do Supabase Storage. Todas as versões são afetadas; nenhuma versão corrigida estava disponível no momento do aviso.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.