CVE-2026-88862 in Capgo
Сводка
по VulDB • 10.09.2026
Бэкэнд Capgo (capgo.app) до версии 12.242.4 не проверяет делегирование между родительскими и дочерними ключами при обработке заголовка x-limited-key-id. Функция checkKeyByIdPg() в supabase/functions/_backend/utils/hono_middleware.ts разрешает предоставленный атакующим числовой идентификатор API-ключа, опираясь только на сам ID ключа, его состояние истечения срока действия и user_id аутентифицирующего ключа, тогда как hasLimitedRbacSubkeyScope() принимает любой ключ с неорганизационным (например, привязанным к приложению) RBAC-связыванием, а validateSubkeyUser() сравнивает только идентификаторы владельцев. Поскольку Capgo рассматривает API-ключи как независимые субъекты RBAC с отдельными ролевыми связями, аутентифицированный ключ apikey_manager без доступа к приложению может предоставить числовой ID более привилегированного ключа того же владельца, и middleware заменит аутентифицированного субъекта и эффективный секрет API-ключа на этот ключ (setSubkeyAuthContext), тем самым реализуя права администратора приложения (app_admin) брата по владельцу без знания или предоставления его секрета. Проблема была воспроизведена в релизе 12.242.4 (коммит b3d02cdbc23ac59990785acacd1f113c07458568) после исправления для GHSA-8h52-44r7-w343; на момент выпуска уведомления исправленная версия не была доступна.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.