CVE-2026-88862

Capgo (capgo.app) backend sürüm 12.242.4 ve öncesinde, x-limited-key-id başlığını işlerken üst-alt delegasyonunu doğrulamamaktadır. supabase/functions/_backend/utils/hono_middleware.ts dosyasındaki checkKeyByIdPg() fonksiyonu, saldırgan tarafından sağlanan sayısal API anahtarı kimliğini yalnızca anahtar kimliği, sona erme durumu ve kimlik doğrulayan anahtarın user_id bilgisiyle çözümlemektedir; bu sırada hasLimitedRbacSubkeyScope() organizasyon dışı (örneğin uygulama kapsamlı) herhangi bir RBAC bağlamasına sahip anahtarı kabul etmekte ve validateSubkeyUser() yalnızca sahibi olan kullanıcı kimliklerini karşılaştırmaktadır. Capgo, API anahtarlarını ayrı rol bağlamalarına sahip bağımsız RBAC prensipleri olarak değerlendirdiği için, uygulama erişimi olmayan kimliği doğrulanmış bir apikey_manager API anahtarı, aynı sahibe ait daha yüksek yetkili bir anahtarın sayısal kimliğini sağlayabilir ve ara katmanın (middleware), kimliği doğrulanmış prensibi ve geçerli API anahtarı sırrını söz konusu anahtar ile değiştirmesini (setSubkeyAuthContext) sağlayarak, gizli anahtarını bilmeden veya sunmadan bir app_admin kardeşinin izinlerini kullanabilir. Sorun, GHSA-8h52-44r7-w343 düzeltmesinden sonra 12.242.4 sürümünde (commit b3d02cdbc23ac59990785acacd1f113c07458568) yeniden üretilmiştir; bildirim tarihinde yamalanmış bir sürüm mevcut değildi.