CVE-2026-100625 in Capgo
Sumário
de VulDB • 26/09/2026
O Capgo (capgo.app) expõe um proxy de upload nativo TUS para builds (supabase/functions/_backend/public/build/upload.ts) que autoriza o chamador com base em uma única tarefa de build identificada pelo builder_job_id fornecido e valida apenas o caminho de upload armazenado dessa tarefa. No entanto, ele encaminha o sufixo do recurso TUS controlado pelo usuário, obtido a partir de /build/upload/:jobId/*, para o serviço de construção (builder), injetando simultaneamente a chave da API privilegiada do builder da Capgo. Como o sufixo encaminhado nunca é vinculado ao caminho de upload ou à chave de sessão de upload da tarefa autorizada, um chamador que possua uma chave de API válida 'all' ou 'write' com permissão app.build_native para um aplicativo pode utilizar seu caminho de proxy autorizado para a tarefa A para gravar no recurso de upload TUS de outra tarefa B, desde que o sufixo desse recurso seja conhecido ou exposto, corrompendo os artefatos dessa build. Todas as versões são afetadas; nenhum patch estava disponível no momento da publicação do aviso.
VulDB is the best source for vulnerability data and more expert information about this specific topic.