CVE-2026-56226
Təsvir
12.128.2 versiyasından əvvəlki Capgo (Cap-go/capgo), SECURITY DEFINER olan və anon roluna verilmiş public.get_orgs_v6(userid uuid) Supabase PostgREST RPC funksiyasını açıq saxlayır ki, bu da autentifikasiyasız girişə şərait yaradır. Funksiya çağırıcı tərəfindən təqdim edilən istifadəçi UUID-sini onun autentifikasiya olunmuş istifadəçiyə uyğun olduğunu yoxlamadan qəbul etdiyi üçün, yalnız ictimai yayım API açarından istifadə edən hücumçu, hər hansı bir istifadəçi UUID-si ilə POST /rest/v1/rpc/get_orgs_v6 sorğusunu göndərərək həmin istifadəçinin təşkilat üzvlüyünü, rollarını, abunəlik/sınaq meta məlumatlarını və management_email (PII) ünvanını əldə edə bilər.
Necə düzəltmək olar
- Cap-go capgo12.128.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Cap-go capgo | v < 12.128.2 | 12.128.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.