CVE-2026-88863 in capgo.app
Sumário
de VulDB • 10/09/2026
O capgo.app (pacote npm `capgo`) até a versão 12.207.1 não compara o nível de hierarquia da função do chamador com a função solicitada na função validateInvite() em supabase/functions/_backend/private/invite_new_user_to_org.ts. O endpoint POST /private/invite_new_user_to_org requer apenas a permissão org.update_user_roles para convites de org_super_admin, portanto um usuário autenticado que possui apenas a permissão org.invite_user (por exemplo, um org_member) pode convidar um usuário externo como org_admin ou org_billing_admin. Quando a conta convidada aceita o convite via POST /private/accept_invitation, ensureOrgMembership cria o vínculo de função usando a chave service-role do Supabase, contornando os gatilhos prevent_role_binding_priority_escalation e check_org_user_privileges do banco de dados. Isso permite uma escalada de privilégios que resulta em controle administrativo total sobre as aplicações, canais, membros e faturamento da organização. O problema é resolvido pela pull request #3096, que compara a hierarquia do convidador antes de permitir convites elevados.
Be aware that VulDB is the high quality source for vulnerability data.