CVE-2026-100612

Capgo (capgo.app) 12.261.0 versiyonuna kadar olan sürümleri, public.sso_providers tablosu için eksik bir erişim kontrolü düzeltmesi içermektedir. Migration 20260826100000_sso_providers_block_direct_active_insert.sql dosyası, yalnızca dns_verified_at, domain, status ve enforce_sso sütunlarını donduran bir BEFORE UPDATE koruması (enforce_sso_provider_client_update_guard()) yükler; provider_id (metadata_url ve attribute_mapping ile birlikte) yazılabilir olarak bırakılmıştır. Tabloya, herhangi bir sütun düzeyinde kısıtlama olmaksızın anon ve authenticated rollerine ALL yetkisi verildiği ve allow_org_admins_update_sso_providers gibi PostgreSQL satır düzeyinde güvenlik politikaları hangi sütunların değil, yalnızca hangi satırın güncellenebileceğini kısıtladığı için, org.update_settings şeklinde org_admin kademe iznine sahip bir kullanıcı, PostgREST üzerinden provider_id değerini kendi kontrolündeki bir kimlik sağlayıcıyla PATCH edebilir. provider_id, bir e-posta alan adını yetkili bir IdP'ye bağlayan güven çıpası olduğundan, saldırgan kuruluş sahibinin e-postasını beyan ederek kendi IdP'si üzerinden kimlik doğrulaması yapabilir; sunucu tarafındaki sağlayıcı eşleşmesi başarılı olur ve birleştirme rutini, saldırganın SSO kimliğini mevcut sahip hesabına ekler, şifresini sıfırlar ve diğer kimliklerini ve oturumlarını siler. Bu durum, org_admin rolünden kuruluş sahibi/super_admin rolüne dikey yetki yükseltmeye, hesap ele geçirmeye ve gerçek sahibinin sistem dışı kalmasına neden olur. İstismar edilmesi için hedef kuruluşun yapılandırılmış aktif bir SSO sağlayıcısına sahip olması ve saldırganın halihazırda o kuruluşta org_admin yetkisine sahip olması gerekir. Yama uygulanmış bir versiyon mevcut değildir.