CVE-2026-56284
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Podatność w Capgo przed wersją 12.128.2 ujawnia informacje poprzez funkcję RPC Supabase PostgREST public.get_total_metrics(org_id), która jest dostępna dla roli anon przy użyciu publicznego klucza sb_publishable_*. Nieuwierzytelniony atakujący może sprawdzać istnienie organizacji i wyciekać poufne dane, takie jak MAU, przepustowość i liczba instalacji, wysyłając żądania POST do /rest/v1/rpc/get_total_metrics z prawidłowymi UUID organizacji.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do wrażliwych danych organizacji, co może prowadzić do naruszenia prywatności, wycieku informacji o klientach i potencjalnego wykorzystania tych danych do dalszych ataków.
Rekomendacja
Należy natychmiast zaktualizować Capgo do wersji 12.128.2 lub nowszej oraz ograniczyć dostęp do funkcji RPC tylko dla uwierzytelnionych użytkowników z odpowiednimi uprawnieniami.
Oryginalny opis (angielski, źródło NVD)
Capgo (Cap-go/capgo) before 12.128.2 contains an information disclosure vulnerability in the Supabase PostgREST RPC function public.get_total_metrics(org_id), which is callable by the anon role using only the public sb_publishable_* key. An unauthenticated attacker can probe organization existence and leak sensitive usage metrics including MAU, bandwidth, and install counts by sending POST requests to /rest/v1/rpc/get_total_metrics with valid organization UUIDs.