CVE-2026-56234

Nome do Software Vulnerável e Versões Afetadas Capgo versões anteriores a 12.128.2

Descrição Existe um problema no endpoint 'POST /functions/v1/private/validate password compliance' que permite a validação de credenciais sem autenticação, exigindo apenas a chave pública do Supabase. O endpoint é permissivo em relação ao CORS com permissão de origem wildcard e carece de limitação de taxa (rate limiting), o que permite que invasores realizem ataques de password spraying e credential stuffing para comprometer contas de usuário. O Cross-Origin Resource Sharing (CORS) é um mecanismo que permite que recursos restritos em uma página da web sejam solicitados de outro domínio fora do domínio do qual o primeiro recurso foi servido.

Recomendações Atualize para a versão 12.128.2 ou posterior.