CVE-2026-100627

Capgo (Cap-go/capgo.app) sunucu arka uç Supabase fonksiyonları, API-key paket terfi yolunda hatalı bir yetkilendirme açığı içermektedir. "all" ve "write" API anahtarları için erişilebilir olan PUT /bundle uç noktası, checkPermission(c, 'channel.promote_bundle', { appId: body.app_id }) ile yetkilendirme yapan ve isteğin channel_id değerini atlayan setChannel fonksiyonuna yönlendirme yapar. Atlanan kapsam alanı rbac_check_permission_direct fonksiyonuna SQL NULL olarak aktarıldığından ve kanal kapsamı geçersiz kılma değerlendirmesi p_channel_id IS NOT NULL koşuluna bağlı olduğundan, kanala özel izin verme/reddetme geçersiz kılmaları hiçbir zaman değerlendirilmez. Bu nedenle, uygulama düzeyinde channel.promote_bundle yetkisine sahip bir kişi (varsayılan olarak app_developer ve app_uploader rollerine atanmıştır), açıkça kanal bazlı reddetme kısıtlaması bulunan bir kanalda paketi terfi ettirebilir ve sağlanan channel_id için public.channels.version bilgisini güncelleyebilir; hedef kanal yalnızca yetkilendirmeden sonra doğrulanır. Sorun, main dalındaki de66fa51e7ff2f50283cc1455c3d80ab3eb0ae43 commit'inde onaylanmıştır ve muhtemelen daha önceki sürümlerde de mevcuttur; yayınlanma tarihinde bilinen yamalı bir sürüm bulunmamaktadır.