CVE-2026-88862

Nome do Software Vulnerável e Versões Afetadas Capgo backend versões anteriores a 12.242.5

Descrição O backend falha ao validar a delegação pai-filho ao processar o cabeçalho x-limited-key-id. A função checkKeyByIdPg() em supabase/functions/ backend/utils/hono middleware.ts resolve o ID numérico da chave de API usando apenas o ID da chave, o estado de expiração e o user id da chave de autenticação. Simultaneamente, hasLimitedRbacSubkeyScope() aceita qualquer chave com uma vinculação RBAC não organizacional, e validateSubkeyUser() apenas compara os IDs de usuário proprietários. Isso permite que uma chave de API apikey manager autenticada, sem acesso ao aplicativo, forneça o ID numérico de uma chave mais privilegiada pertencente ao mesmo usuário. O middleware então utiliza setSubkeyAuthContext para substituir o principal e o segredo autenticados pelos da chave privilegiada, permitindo que o usuário exerça permissões de app admin sem conhecer o segredo.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.