CVE-2026-100621

Capgo (capgo.app)-nun bütün versiyalarını əhatə edən natamam giriş nəzarəti/məzmun kilidinin tətbiqi problemi mövcuddur; nəşr zamanı heç bir yamaq mövcud olmayıb. `supabase/schemas/prod.sql` faylındakı `enforce_encrypted_bundle_trigger` / `check_encrypted_bundle_on_insert` məzmun kilidi, əvvəlki `storage_provider`-i `r2-direct` olan `app_versions` sətirlərini istisna edir, buna görə də sətir həmin vəziyyətdə olduqda çatdırılma üçün kritik sütunlar (name, app_id, session_key, key_id, storage_provider, r2_path, external_url, checksum, manifest, native_packages) dəyişdirilə bilən qalır. Ayrıca, `/updates` son nöqtəsi (endpoint) tərəfindən istifadə edilən kanal/versiya birləşməsi (`supabase/functions/_backend/utils/pg.ts`) yalnız silinmiş versiyaları filtrləyir və `r2-direct` versiyalarını istisna etmir, beləliklə, həmin sətirlər OTA seçimi üçün aktiv qalır. Paket yazma/yükləmə icazəsi olan Capgo API açarına sahib hücumçu paket versiyasını `r2-direct` vəziyyətində yarada və ya saxlaya, onu kanala təyin edə və daha sonra birbaşa PostgREST sorğuları vasitəsilə bu sahələri dəyişdirə bilər ki, bu da dəyişdirilmiş paket metaverilənlərinin (məsələn, checksum və session_key) `/updates` vasitəsilə cihazlara göndərilməsinə səbəb olar. Bu, əvvəlki `app_versions` metaverilənlərinin manipulyasiyası problemi üçün əlavə edilmiş yükləmədən sonrakı məzmunun dəyişməzliyi təhlükəsizlik tədbirindən yan keçməyə imkan verir.