CVE-2026-56213
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 — wyżej niż 14% wszystkich znanych CVE
Streszczenie
Capgo w wersjach przed 12.128.2 zawiera lukę w autoryzacji w funkcji public.upsert_version_meta, która jest udostępniana przez PostgREST RPC. Umożliwia to nieautoryzowanym atakującym wstawianie dowolnych wierszy do version_meta dla dowolnego app_id.
Ocena ryzyka
Atakujący mogą wykorzystać tę lukę do zafałszowania metryk przechowywania, co prowadzi do trwałych błędnych danych w pulpitach nawigacyjnych oraz wywoływania nieprawidłowych alertów w aplikacjach ofiar.
Rekomendacja
Zaleca się aktualizację Capgo do wersji 12.128.2 lub nowszej, aby usunąć tę lukę. Dodatkowo, należy ograniczyć dostęp do funkcji RPC tylko dla autoryzowanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Capgo before 12.128.2 contains an authorization bypass vulnerability in the public.upsert_version_meta SECURITY DEFINER function exposed via PostgREST RPC, allowing unauthenticated attackers to insert arbitrary rows into version_meta for any app_id. Attackers can exploit this by calling the RPC endpoint with a public anon key to poison storage metrics, causing persistent false data in dashboards and triggering incorrect alerts across victim applications.