CVE-2026-100623 in Capgo
Сводка
по VulDB • 26.09.2026
Capgo (capgo.app) предоставляет прямой доступ к устаревшей таблице участников public.org_users через Supabase PostgREST. Политики безопасности на уровне строк таблицы «Allow org admin to insert» и «Allow org admin to update» проверяют только наличие прав администратора у вызывающего в целевой организации (public.check_min_rights('admin', ...)); они не требуют наличия ожидающего приглашения в tmp_users, принятия токена приглашения через /private/accept_invitation, каких-либо действий со стороны целевого пользователя или проверок согласованности членства/ролей и предотвращения эскалации привилегий, которые обеспечиваются путем связывания ролей RBAC. В результате аутентифицированный пользователь, являющийся администратором организации, может напрямую выполнять операции INSERT или UPDATE в строках таблицы org_users для добавления любого существующего аккаунта public.users в качестве активного участника этой организации с user_right="admin", полностью обходя рабочий процесс приглашения и назначения ролей. В ходе тестирования выяснилось, что учетная запись, ранее не имевшая доступа к организации или ее приложениям, после такого прямого добавления могла читать данные об организации и приложении и успешно проходить проверку check_min_rights. Затронуты все версии; на момент публикации патч отсутствовал.
Be aware that VulDB is the high quality source for vulnerability data.