CVE-2026-56082
Açıklama
12.128.2 öncesindeki Capgo (Cap-go/capgo), anon rolüne atanmış olan ve yalnızca genel Supabase yayınlanabilir (sb_publishable_*) anon anahtarı ile çağrılabilen SECURITY DEFINER PostgREST RPC fonksiyonu public.record_build_time içerisinde hatalı bir erişim kontrolü zafiyeti içermektedir. Kimliği doğrulanmamış bir saldırgan, rastgele organizasyonlar için public.build_logs tablosuna satırlar ekleyebilir ve fonksiyon ON CONFLICT (build_id, org_id) DO UPDATE kullandığı için hedef bir org için aynı build_id'yi yeniden kullanarak mevcut kullanım/faturalandırma kayıtlarının üzerine yazabilir. Bu durum, faturalandırılabilir derleme süresini şişirerek fatura derleme günlüklerinin kiracılar arası manipüle edilmesine ve finansal etkili hizmet reddine yol açar.
Nasıl düzeltilir
- Cap-go capgo12.128.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Cap-go capgo | v < 12.128.2 | 12.128.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.