CVE-2026-88861

Capgo (Cap-go/capgo.app) bütün versiyalara təsir edən autentifikasiyadan yan keçmə boşluğu ehtiva edir (nəşr zamanı heç bir düzəliş edilmiş versiya mövcud olmayıb). Edge avtorizasiya yolu, hesabda təsdiqlənmiş və lakin sessiya üçün istifadə edilməmiş MFA faktoru olsa belə, yalnız şifrə ilə daxil olan Supabase aal1 sessiyasının imtiyazlı RBAC icazələrini tətbiq etməsinə şərait yaradır: Edge JWT middleware (supabase/functions/_backend/utils/hono_middleware.ts faylında foundJWT()) onun təminat səviyyəsini yoxlamadan JWT-ni qəbul edir və birbaşa RBAC yolu (public.rbac_check_permission_direct() funksiyasını çağıran supabase/functions/_backend/utils/rbac.ts faylında checkPermission()/checkPermissionPg()), düzgün şəkildə aal2 tələb edən public.verify_mfa() nəzarətindən fərqli olaraq, sessiyanın aal səviyyəsini ötürmədən və ya yoxlamadan istifadəçi ID-si əsasında avtorizasiya həyata keçirir. Beləliklə, qurbanın yalnız şifrəsini bilən hücumçu autentifikasiyadan keçə, aal1 sessiyası bağlandıqdan sonra da etibarlı qalan daimi proqram miqyaslı app_admin API açarı yarada və istehsal OTA kanal konfiqurasiyalarını dəyişmək kimi (ictimai istehsal kanalını bundle 1.0.0-dan 1.0.1-ə dəyişməklə təsdiqlənmişdir) imtiyazlı əməliyyatlar yerinə yetirərək MFA tərəfindən təmin edilən mühafizəni sıradan çıxara bilər.