CVE-2026-56082

Nome do Software Vulnerável e Versões Afetadas Capgo versões anteriores a 12.128.2

Descrição Existe um controle de acesso inadequado na função RPC PostgREST SECURITY DEFINER public.record build time(). Esta função é concedida à função anon e pode ser chamada usando apenas a chave anon pública publicável do Supabase sb publishable *. Um invasor não autenticado pode inserir linhas em public.build logs para organizações arbitrárias. Como a função utiliza ON CONFLICT (build id, org id) DO UPDATE, um invasor pode sobrescrever registros de uso e faturamento existentes reutilizando o mesmo build id para uma organização alvo. Isso permite a adulteração de logs de faturamento entre locatários (cross-tenant) e a negação de serviço com impacto financeiro ao inflar o tempo de build faturável.

Recomendações Atualize para a versão 12.128.2 ou posterior.