CVE-2026-100618

Nome do Software Vulnerável e Versões Afetadas Capgo (capgo.app) (versões afetadas não especificadas)

Descrição Existe uma falha de autorização no processo de atualização do ícone do aplicativo. O endpoint 'PUT /app/:id' aceita um valor icon controlado pelo usuário e o armazena em public.apps.icon url sem verificar se o caminho da imagem pertence ao namespace de imagem do aplicativo de destino. A atualização deste valor dispara o gatilho on app update, que executa a função cleanStoredImageMetadata() usando credenciais de função de serviço. Este processo baixa e faz o upload do objeto de armazenamento referenciado com upsert: true. Consequentemente, um usuário autenticado com uma chave de API de gravação limitada ao aplicativo pode forçar o worker privilegiado a sobrescrever objetos de imagem privados, como logotipos de organizações, aos quais o usuário normalmente não teria acesso sob o Row Level Security (RLS) do Supabase Storage, um recurso de segurança que restringe o acesso aos dados com base em funções de usuário.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.