CVE-2026-88862 in Capgo
Tóm tắt
Bởi VulDB • 10/09/2026
Capgo (capgo.app) backend qua phiên bản 12.242.4 không xác minh ủy quyền cha-con khi xử lý tiêu đề x-limited-key-id. Hàm checkKeyByIdPg() trong supabase/functions/_backend/utils/hono_middleware.ts giải quyết ID khóa API số do kẻ tấn công cung cấp chỉ dựa trên ID khóa, trạng thái hết hạn của nó và user_id của khóa đang xác thực, trong khi hasLimitedRbacSubkeyScope() chấp nhận bất kỳ khóa nào có ràng buộc RBAC không phải tổ chức (ví dụ: phạm vi ứng dụng) và validateSubkeyUser() chỉ so sánh các ID người dùng chủ sở hữu. Vì Capgo coi các khóa API là các nguyên thể RBAC độc lập với các ràng buộc vai trò riêng biệt, một khóa apikey_manager đã xác thực nhưng không có quyền truy cập ứng dụng nào có thể cung cấp ID số của một khóa cùng chủ sở hữu có đặc quyền cao hơn và khiến middleware thay thế nguyên thể đã xác thực cũng như bí mật khóa API hiệu quả bằng khóa đó (setSubkeyAuthContext), qua đó sử dụng các quyền của anh em app_admin mà không cần biết hoặc gửi bí mật của nó. Vấn đề này đã được tái hiện trên bản phát hành 12.242.4 (commit b3d02cdbc23ac59990785acacd1f113c07458568) sau khi sửa lỗi cho GHSA-8h52-44r7-w343; tại thời điểm của bản tư vấn, không có phiên bản đã vá nào được cung cấp.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.