Judel777

Capgo fails to clean up channel permission overrides when a user's last organization role binding is deleted, leaving stale overrides active. Attackers can retain channel-specific permissions after their base RBAC access has been revoked to perform unauthorized actions like changing production OTA versions.

Capgo (Cap-go/capgo.app) contains an authentication bypass affecting all versions (no patched version available at time of publication). The Edge authorization path allows a password-only Supabase aal1 session to exercise privileged RBAC permissions even when the account has a verified MFA factor that has not been used for the session: the Edge JWT middleware (foundJWT() in supabase/functions/ backend/utils/hono middleware.ts) accepts the JWT without validating its assurance level, and the direct RBAC path (checkPermission()/checkPermissionPg() in supabase/functions/ backend/utils/rbac.ts calling public.rbac check permission direct()) authorizes by user ID without passing or checking the session aal, unlike the public.verify mfa() control which correctly requires aal2. An attacker who knows only the victim's password can therefore authenticate, mint a persistent app-scoped app admin API key that remains valid after the aal1 session is logged out, and perform privileged operations such as modifying production OTA channel configurations (validated by changing a public production channel from bundle 1.0.0 to 1.0.1), defeating the protection provided by MFA.

Capgo (capgo.app) backend through 12.242.4 does not validate parent-child delegation when processing the x-limited-key-id header. checkKeyByIdPg() in supabase/functions/ backend/utils/hono middleware.ts resolves the attacker-supplied numeric API key ID using only the key ID, its expiration state, and the authenticating key's user id, while hasLimitedRbacSubkeyScope() accepts any key with a non-organization (e.g., app-scoped) RBAC binding and validateSubkeyUser() only compares owning user IDs. Because Capgo treats API keys as independent RBAC principals with separate role bindings, an authenticated apikey manager API key with no application access can supply the numeric ID of a more privileged same-owner key and have the middleware replace the authenticated principal and effective API-key secret with that key (setSubkeyAuthContext), exercising an app admin sibling's permissions without knowing or submitting its secret. The issue was reproduced on release 12.242.4 (commit b3d02cdbc23ac59990785acacd1f113c07458568) after the fix for GHSA-8h52-44r7-w343; at the time of the advisory no patched version was available.

Capgo (capgo.app) fails to restrict direct write access to the public.sso providers table exposed through Supabase PostgREST. A holder of an ordinary Capgo full API key can insert a row with status='active' and enforce sso=true, bypassing the intended backend SSO provisioning route (supabase/functions/ backend/private/sso/providers.ts) and its controls: the Enterprise plan requirement, SSO provider creation via the Supabase Management API, DNS TXT domain-ownership verification, the pending verification → verified → active status transition, and issuance of a trusted provider ID by Supabase Auth. The forged row is trusted by SSO discovery and enforcement logic, including the unauthenticated login preflight endpoint /private/sso/check-domain, which then reports {"has sso": true, "enforce sso": true} for domains that were never verified, allowing attacker-controlled SSO enforcement to be asserted for arbitrary domains and disrupting normal login. All versions are affected; at the time of the advisory no patch was available.

**Nome do Software Vulnerável e Versões Afetadas** Capgo versões anteriores a 12.128.2 **Description** Um problema de divulgação de informações existe na função RPC Supabase PostgREST SECURITY DEFINER `public.rescind invitation()`. Atacantes não autenticados, utilizando apenas uma chave de API publicável, podem enumerar a existência de organizações. Isso é possível porque a função retorna mensagens de erro distintas, especificamente `NO ORG` e `NO RIGHTS`, permitindo que atacantes identifiquem IDs de organizações válidos. Essa descoberta pode ser usada para facilitar campanhas de phishing direcionado ou engenharia social. **Recommendations** Atualize para a versão 12.128.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Capgo versões anteriores a 12.128.2 **Description** Um problema de interrupção de conta entre organizações existe no endpoint de pré-vinculação de SSO. Administradores corporativos com a permissão `org.update settings` e um provedor de SSO ativo podem utilizar o endpoint `prelink-users` para excluir permanentemente as identidades de senha de usuários de outras organizações, desde que os usuários correspondam ao domínio de e-mail do provedor. Esta ação força os usuários afetados a utilizar o provedor de SSO do invasor ou a realizar um processo de recuperação de redefinição de senha. **Recommendations** Atualize para a versão 12.128.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Capgo versões anteriores a 12.128.2 **Description** Um problema de divulgação de informações existe no endpoint `global stats` do Supabase PostgREST. Atacantes não autenticados podem usar a `apikey` pública para consultar o endpoint '/rest/v1/global stats', expondo métricas financeiras e operacionais sensíveis, incluindo a Receita Recorrente Mensal (MRR), receita total, detalhamento de receita por nível de plano, contagem de clientes e telemetria operacional. **Recommendations** Atualize para a versão 12.128.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Capgo versões anteriores a 12.128.2 **Description** Existe um problema onde usuários rebaixados da função `super admin` mantêm acesso não autorizado a funções específicas. Isso ocorre porque a coluna `org users.user right` não é limpa durante a exclusão de vinculações de função, resultando em permissões obsoletas. Um invasor pode usar isso para enumerar e excluir em massa pacotes não conformes em toda a organização. As funções afetadas são os RPCs `delete non compliant bundles` e `count non compliant bundles`. **Recommendations** Atualize para a versão 12.128.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Capgo versões anteriores a 12.128.2 **Description** Um problema de isolamento de escopo existe no endpoint 'POST /webhooks/test'. Esta falha permite que usuários com chaves de API de escopo de aplicativo executem operações de webhook de escopo de organização, ignorando a verificação de autorização `limited to apps`. Consequentemente, um invasor usando credenciais de escopo de aplicativo pode disparar entregas de webhooks de organização arbitrários que estejam fora do limite do aplicativo declarado. **Recommendations** Atualize para a versão 12.128.2 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint 'POST /webhooks/test'.

**Nome do Software Vulnerável e Versões Afetadas** Capgo versões anteriores a 12.128.12 **Description** Existe uma falha de bypass de autorização de faturamento no cálculo de `plan valid`. Este problema permite que organizações com concessões de crédito de uso expiradas ou esgotadas ignorem as restrições de faturamento devido a uma divergência entre a expressão `plan valid` do plugin hot-path e o gateway de faturamento autoritativo. Isso pode ser explorado para manter acesso não autorizado aos endpoints '/updates', '/stats', '/channel self' e de upload de anexos. **Recommendations** Atualize para a versão 12.128.12 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Cap-go versões anteriores a 12.128.2 **Description** Um problema de divulgação de informações existe na função RPC `public.transfer app`. Atacantes não autenticados podem enumerar IDs de aplicativos válidos ao observar diferenças nas mensagens de erro retornadas ao chamar a função usando apenas a chave de API publicável, o que revela se um ID de aplicativo existe ou não. **Recommendations** Atualize o Cap-go para a versão 12.128.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Capgo versões anteriores a 12.128.2 **Description** Um problema de divulgação de informações existe na função PostgreSQL `find apikey by value()`. Esta função é marcada como SECURITY DEFINER, o que permite que ela seja executada com os privilégios do usuário que a criou, e é executável pela função `anon`. Atacantes não autenticados podem acessar o endpoint '/rest/v1/rpc/find apikey by value' para recuperar metadados sensíveis de chaves de API, como `user id`, `mode`, escopo da organização e detalhes de expiração, ao fornecer um valor de chave válido. **Recommendations** Atualize para a versão 12.128.2 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint '/rest/v1/rpc/find apikey by value'.

**Nome do Software Vulnerável e Versões Afetadas** Capgo versões anteriores a 12.128.2 **Description** Ocorre uma falha na aplicação de restrições de plano e cota no endpoint '/files/upload/attachments'. Isso permite que aplicativos que deveriam estar bloqueados pelo plano criem objetos R2 (objetos de armazenamento em nuvem) publicamente legíveis. Utilizando chaves de API com escopo de upload, atacantes podem ignorar as verificações de plano para fazer o upload de anexos arbitrários. Esses arquivos persistem independentemente dos metadados normais do pacote e permanecem mesmo após a exclusão do aplicativo, o que pode resultar em abuso de armazenamento e largura de banda. **Recommendations** Atualize para a versão 12.128.2 ou posterior. Restrinja o acesso ao endpoint '/files/upload/attachments' para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** Capgo versões anteriores a 12.128.2 **Description** Existe uma falha de bypass de autorização onde chaves de API com escopo de escrita podem alterar diretamente campos de configuração de canais protegidos via PostgREST. Isso ocorre devido a uma verificação de autenticação nula no gatilho de imutabilidade, permitindo que atacantes com chaves de API de escrita modifiquem atributos sensíveis de canais, como `public`, `allow emulator` e sinalizadores relacionados à segurança, fora das rotas pretendidas da aplicação. **Recommendations** Atualize para a versão 12.128.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Capgo versões anteriores a 12.128.2 **Descrição** Uma validação inadequada no endpoint 'accept invitation' permite a criação de contas de usuário antes que a validação de captcha seja aplicada. Isso permite que invasores ignorem a proteção de captcha enviando requisições POST com tokens de captcha inválidos, resultando na criação de contas indesejadas e no consumo de links de convite. **Recomendações** Atualize para a versão 12.128.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Capgo versões anteriores a 12.128.2 **Description** Existe um problema devido à decodificação não bijetiva de sublinhados duplos para pontos durante a análise do nome do host de visualização. Isso permite que invasores registrem IDs de aplicativo contendo sublinhados que colidem com os IDs de aplicativo pontuados de outros locatários, resultando em erro de roteamento de visualização e negação de acesso à visualização para os aplicativos vítimas. **Recommendations** Atualize para a versão 12.128.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Capgo versões anteriores a 12.128.2 **Description** Um problema de divulgação de informações existe na função RPC `get orgs v7(userid)`, que permanece publicamente acessível apesar dos controles de acesso privados pretendidos. Atacantes não autenticados podem fornecer UUIDs de usuário arbitrários através da variável `userid` para recuperar dados sensíveis de outros usuários, incluindo filiação a organizações, funções, e-mails de gerenciamento e metadados de faturamento. **Recommendations** Atualize para a versão 12.128.2 ou posterior. Como mitigação temporária, restrinja o acesso à função `get orgs v7(userid)`.

**Nome do Software Vulnerável e Versões Afetadas** Capgo versões anteriores a 12.128.2 **Description** Um problema de divulgação de informações existe na função RPC do Supabase PostgREST `public.get total metrics(org id)`. Esta função é acessível pela função anon usando apenas a chave pública `sb publishable *`. Um invasor não autenticado pode verificar a existência de organizações e vazar métricas de uso sensíveis, como Usuários Ativos Mensais (MAU), largura de banda e contagens de instalação, enviando solicitações POST para o endpoint '/rest/v1/rpc/get total metrics' usando UUIDs de organização válidos. **Recommendations** Atualize para a versão 12.128.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Capgo versões anteriores a 12.128.2 **Description** Uma falha de autorização existe na função `transfer app()` que ocorre quando aplicativos são transferidos entre organizações. O sistema falha ao atualizar a variável `deploy history.owner org`, o que pode permitir que atacantes mantenham acesso não autorizado a registros de histórico de implantação na organização de origem ou resulte na perda de acesso da organização de destino aos registros de implantação do aplicativo transferido. **Recommendations** Atualize para a versão 12.128.2 ou posterior. Como mitigação temporária, restrinja o uso da função `transfer app()` até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** Capgo versões anteriores a 12.128.2 **Descrição** O software expõe a função RPC do Supabase PostgREST `public.get orgs v6(userid uuid)`, que está configurada como SECURITY DEFINER e concedida à função anon, permitindo acesso não autenticado. A função não verifica se o `userid` fornecido pelo chamador corresponde ao usuário autenticado. Um invasor com uma chave de API pública pode consultar o endpoint "POST /rest/v1/rpc/get orgs v6" usando um UUID de usuário arbitrário para recuperar informações de identificação pessoal (PII) sensíveis, incluindo a filiação a organizações, funções, metadados de assinatura ou teste e o e-mail de gerenciamento. **Recomendações** Atualize para a versão 12.128.2 ou posterior. Restrinja o acesso à função `public.get orgs v6()` para evitar consultas não autenticadas.