CVE-2026-100616

capgo.app, Capacitor tətbiqləri üçün hava üzərindən (over-the-air) yeniləmə platformasıdır. Düzəlişdən əvvəlki bütün versiyalarda, public.orgs cədvəlindəki sətir səviyyəli təhlükəsizlik (row-level security) UPDATE siyasəti, təşkilat administratoruna (org.update_settings icazəsinə malik istifadəçiyə), daxili fakturlaşdırma göstəricisi olan customer_id sütunu da daxil olmaqla, bütün sətiri yeniləməyə icazə verir. Rəsmi təşkilat yeniləmə son nöqtəsi (supabase/functions/_backend/public/organization/put.ts) yalnız kiçik bir redaktə edilə bilən parametrlər siyahısına icazə verir və customer_id-ni istisna edir, özəl Stripe fakturlaşdırma marşrutu isə ayrıca org.update_billing icazəsini tələb edir. Yeniləmə sorğusunu birbaşa Supabase PostgREST-ə göndərməklə, org.update_billing icazəsi olmayan autentifikasiya olunmuş təşkilat administratoru, təşkilatın Stripe müştəri göstəricisini sıfırlaya və ya korlaya bilər. Bu, orgs.customer_id-yə etibar edən plan və fakturlaşdırma yoxlamalarının uğursuz olmasına səbəb olur və təşkilatı etibarlı ödənişli plan statusundan ödənişsiz/plansız davranış rejimine keçirir. Məsləhət verildiği vaxtda heç bir düzəldilmiş versiya mövcud deyildi.