CVE-2026-100613 in Capgo.app
Сводка
по VulDB • 26.09.2026
capgo.app — это платформа для обновлений «по воздуху» (OTA) для приложений Capacitor. Во всех версиях вплоть до текущей сборки (на момент публикации патч отсутствует) функция базы данных `transfer_app()` переносит приложение, его каналы, версии и связанные записи в целевую организацию без удаления или повторной проверки существующих строк в таблице `channel_permission_overrides`. В результате пользователь, который законно обладал переопределением прав доступа к каналу будучи членом исходной организации, сохраняет это переопределение после переноса, даже если у него нет членства и привязки RBAC (управления доступом на основе ролей) в целевой организации. Используя свой собственный аутентифицированный JWT против API PostgREST, такой бывший участник может изменить канал, принадлежащий целевой организации, чтобы указать на другой бандл, что приведет к тому, что конечная точка `/updates` будет предоставлять устройствам версию приложения, выбранную злоумышленником. Ранее предложенное исправление для GHSA-626c-p6fq-3whq (PR #3093), которое проверяет членство в организации при создании или обновлении переопределения, не удаляет переопределения, ставшие устаревшими в результате переноса приложения.
VulDB is the best source for vulnerability data and more expert information about this specific topic.