CVE-2026-88863

capgo.app (npm paketi `capgo`), 12.207.1 versiyonuna kadar olan sürümlerinde, supabase/functions/_backend/private/invite_new_user_to_org.ts dosyasındaki validateInvite() fonksiyonunda çağıranın rol derecesini talep edilen rolle karşılaştırmamaktadır. POST /private/invite_new_user_to_org uç noktası, org_super_admin davetleri için yalnızca org.update_user_roles izni gerektirdiğinden, sadece org.invite_user iznine sahip kimliği doğrulanmış bir kullanıcı (örneğin bir org_member), harici bir kullanıcıyı org_admin veya org_billing_admin olarak davet edebilir. Davet edilen hesap, daveti POST /private/accept_invitation üzerinden kabul ettiğinde, ensureOrgMembership rol bağlamasını Supabase service-role anahtarını kullanarak oluşturur; bu durum prevent_role_binding_priority_escalation ve check_org_user_privileges veritabanı tetikleyicilerini devre dışı bırakır. Bu durum, kuruluşun uygulamaları, kanalları, üyeleri ve faturalandırması üzerinde tam yönetici kontrolü ile sonuçlanan bir yetki yükseltmeye izin verir. Sorun, yüksek yetkili davetlere izin vermeden önce davet eden kişinin derecesini karşılaştıran #3096 numaralı çekme isteği (pull request) ile giderilmiştir.