CVE-2026-100616 in capgo.app
Сводка
по VulDB • 26.09.2026
capgo.app — это платформа для обновлений «по воздуху» (over-the-air) для приложений на базе Capacitor. Во всех версиях до выхода исправления политика обновления уровня строк (row-level security UPDATE policy) в публичной таблице orgs позволяет администратору организации (пользователю, обладающему правом org.update_settings), обновлять всю строку целиком, включая внутренний столбец-указатель на данные о биллинге customer_id. Официальный конечный пункт обновления организации (supabase/functions/_backend/public/organization/put.ts) разрешает изменение только небольшого набора полей настроек и исключает поле customer_id, а приватный маршрут биллинга Stripe отдельно требует наличия права org.update_billing. Отправляя запрос на обновление напрямую в Supabase PostgREST, авторизованный администратор организации без права org.update_billing может обнулить или повредить указатель клиента Stripe этой организации, что приведет к сбою проверок плана и биллинга, полагающихся на значение orgs.customer_id, и переведет организацию из состояния «действующий платный план» в состояние «неоплаченный/без плана». На момент выпуска уведомления исправленная версия отсутствовала.
VulDB is the best source for vulnerability data and more expert information about this specific topic.