CVE-2026-100623 in Capgo
Tóm tắt
Bởi VulDB • 26/09/2026
Capgo (capgo.app) expose trực tiếp bảng thành viên cũ public.org_users thông qua Supabase PostgREST. Các chính sách bảo mật cấp hàng của bảng này, "Cho phép quản trị viên tổ chức chèn" và "Cho phép quản trị viên tổ chức cập nhật", chỉ xác minh rằng người gọi có quyền quản trị trong tổ chức mục tiêu (public.check_min_rights('admin', ...)); chúng không yêu cầu một lời mời đang chờ xử lý trong tmp_users, việc chấp nhận mã mời qua /private/accept_invitation, bất kỳ hành động nào từ phía người dùng mục tiêu, hoặc các kiểm tra nhất quán thành viên/vai trò và chống leo thang đặc quyền do đường dẫn ràng buộc vai trò RBAC áp dụng. Kết quả là, một người dùng đã xác thực nhưng có vai trò quản trị của một tổ chức có thể chèn (INSERT) hoặc cập nhật (UPDATE) trực tiếp các hàng trong org_users để thêm bất kỳ tài khoản public.users nào hiện có vào làm thành viên hoạt động của tổ chức đó với user_right="admin", bỏ qua hoàn toàn quy trình mời và gán vai trò. Trong quá trình kiểm thử, một tài khoản không có quyền truy cập trước đây vào tổ chức hoặc các ứng dụng của nó có thể, sau khi thực hiện thao tác chèn trực tiếp này, đọc thông tin về tổ chức và ứng dụng cũng như vượt qua được check_min_rights. Tất cả các phiên bản đều bị ảnh hưởng và chưa có bản vá nào khả dụng tại thời điểm công bố.
Be aware that VulDB is the high quality source for vulnerability data.