CVE-2026-100616

capgo.app, Capacitor uygulamaları için bir havadan (over-the-air) güncelleme platformudur. Düzeltmeden önceki tüm sürümlerde, public.orgs tablosundaki satır düzeyinde güvenlik (row-level security) UPDATE politikası, bir organizasyon yöneticisinin (org.update_settings yetkisine sahip kullanıcı), dahili faturalandırma işaretçisi sütunu olan customer_id dahil olmak üzere tüm satırı güncellemesine izin vermektedir. Resmi organizasyon güncelleme uç noktası (supabase/functions/_backend/public/organization/put.ts) yalnızca düzenlenebilir küçük bir ayarlar alanları kümesine izin verir ve customer_id'yi hariç tutar; özel Stripe faturalandırma rotası ise ayrıca org.update_billing izni gerektirir. Doğrudan Supabase PostgREST'e bir güncelleme göndererek, org.update_billing yetkisine sahip olmayan kimliği doğrulanmış bir organizasyon yöneticisi, organizasyonun Stripe müşteri işaretçisini sıfırlayabilir veya bozabilir; bu durum orgs.customer_id değerine güvenen plan ve faturalandırma kontrollerinin başarısız olmasına yol açarak organizasyonu geçerli bir ücretli plan durumundan ücretsiz/plansız davranışa geçirir. Bildirim tarihinde yamalanmış bir sürüm mevcut değildi.