CVE-2026-100623

Capgo (capgo.app), köhnə üzvlük cədvəli olan public.org_users-i birbaşa Supabase PostgREST vasitəsilə açıq şəkildə təqdim edir. Cədvəlin sətir səviyyəli təhlükəsizlik siyasətləri ("Allow org admin to insert" və "Allow org admin to update") yalnız çağırış edənin hədəf təşkilatda admin hüquqlarına malik olduğunu yoxlayır (public.check_min_rights('admin', ...)); onlar tmp_users-də gözləyən dəvəti, /private/accept_invitation vasitəsilə dəvət tokeninin qəbulunu, hədəf istifadəçi tərəfindən hər hansı bir fəaliyyəti və ya RBAC rol-bağlama yolu ilə tətbiq edilən üzvlük/rol uyğunluğu və imtiyazların artırılmasının qarşısını alan yoxlamaları tələb etmir. Nəticə etibarilə, təşkilatın admini olan autentifikasiya olunmuş istifadəçi, dəvət və rol təyin etmə iş axınını tamamilə yan keçərək, hər hansı mövcud public.users hesabını user_right="admin" parametri ilə həmin təşkilatın aktiv üzvü kimi əlavə etmək üçün org_users sətirlərinə birbaşa INSERT və ya UPDATE edə bilər. Sınaqlar zamanı müəyyən edilmişdir ki, təşkilata və ya onun tətbiqlərinə əvvəllər girişi olmayan bir hesab belə, bu cür birbaşa daxiletmədən sonra təşkilatı və tətbiqi oxuya və check_min_rights yoxlamasından keçə bilir. Bütün versiyalar təsirlidir və nəşr zamanı heç bir yamama (patch) mövcud deyildi.