CVE-2026-88862

Capgo (capgo.app) backend versiya 12.242.4-dək olan hissədə x-limited-key-id başlığını emal edərkən valideyn-övlad nümayəndəliyini yoxlamır. supabase/functions/_backend/utils/hono_middleware.ts faylındakı checkKeyByIdPg() funksiyası hücum edən tərəfindən təqdim edilən rəqəmsal API açar ID-sini yalnız açar ID-si, onun vaxtının bitmə vəziyyəti və autentifikasiyaedici açarın user_id-si vasitəsilə müəyyən edir, hasLimitedRbacSubkeyScope() isə təşkilatdan kənar (məsələn, proqram səviyyəli) hər hansı RBAC bağlamasına malik olan istənilən açarı qəbul edir və validateSubkeyUser() yalnız sahib olan istifadəçi ID-lərini müqayisə edir. Capgo API açarlarını ayrı rol bağlamaları olan müstəqil RBAC subyektləri kimi qəbul etdiyi üçün, proqrama girişi olmayan autentifikasiya olunmuş apikey_manager API açarı eyni sahibə məxsus daha yüksək imtiyazlı açarın rəqəmsal ID-sini təqdim edə bilər və middleware autentifikasiya olunmuş subyekti və effektiv API-açar sirrini həmin açarla əvəz edərək (setSubkeyAuthContext), onun sirrini bilmədən və ya təqdim etmədən app_admin səviyyəli paralel açarın imtiyazlarından istifadə edə bilər. Problem GHSA-8h52-44r7-w343 düzəlişindən sonra 12.242.4 buraxılışında (commit b3d02cdbc23ac59990785acacd1f113c07458568) təkrarlanmışdır; bildiriş zamanı heç bir yamalı versiya mövcud deyildi.