CVE-2026-100625

Capgo (capgo.app), təmin edilən builder_job_id vasitəsilə müəyyən edilmiş tək bir build tapşırığına qarşı çağıranı avtorizasiya edən və yalnız həmin tapşırığın saxlanılan upload_path parametrini yoxlayan yerli build TUS yükləmə proksisini (supabase/functions/_backend/public/build/upload.ts) açıq qoyur, lakin daha sonra /build/upload/:jobId/* ünvanından götürülmüş istifadəçi tərəfindən idarə olunan TUS resurs suffiksini Capgo-nun imtiyazlı builder API açarını daxil etməklə builder xidmətinə yönləndirir. Yönləndirilmiş suffiks heç vaxt avtorizasiya olunmuş tapşırığın upload_path və ya upload_session_key parametrləri ilə bağlanmadığı üçün, bir tətbiq üçün app.build_native icazəsinə malik keçərli 'all' və ya 'write' Capgo API açarı olan çağıran şəxs, resurs suffiksi məlum olduqda və ya açıq qaldıqda, A tapşırığı üçün avtorizasiya olunmuş proksi yolundan istifadə edərək digər B tapşırığının TUS yükləmə resursuna yazıla və həmin build-in artefaktlarını korlaya bilər. Bütün versiyalar təsirlidir; bildirişin dərc edildiyi vaxtda heç bir yamama mövcud deyildi.