CVE-2026-100613

Nome do Software Vulnerável e Versões Afetadas capgo.app (versões afetadas não especificadas)

Descrição A função de banco de dados transfer app() não exclui nem revalida as linhas existentes em channel permission overrides ao transferir um aplicativo, seus canais, versões e registros relacionados para uma organização de destino. Isso permite que um usuário que possuía uma sobreposição de permissão de canal na organização de origem mantenha essa sobreposição após a transferência, mesmo sem ter vínculo de membro ou de Controle de Acesso Baseado em Função (RBAC) na organização de destino. Um invasor pode usar um JSON Web Token (JWT) autenticado contra a API PostgREST para modificar o canal pertencente ao destino para apontar para um pacote diferente, fazendo com que o endpoint /updates forneça uma versão do aplicativo selecionada pelo invasor aos dispositivos.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.