Podatności Capgo

Podatność w Capgo przed wersją 12.128.2 umożliwia ominięcie autoryzacji, gdzie klucze API z zakresem zapisu mogą bezpośrednio modyfikować chronione pola konfiguracji kanałów przez PostgREST, wykorzystując brak sprawdzania uwierzytelnienia w wyzwalaczu niezmienności. Atakujący z kluczami API do zapisu mogą zmieniać wrażliwe atrybuty kanałów, takie jak public, allow_emulator i flagi związane z bezpieczeństwem, poza zamierzonymi ścieżkami aplikacji.

Podatność w Capgo przed wersją 12.128.2 wynika z niebijectywnego dekodowania podwójnych podkreślników na kropki podczas parsowania nazw hostów wersji zapoznawczych. Atakujący mogą rejestrować identyfikatory aplikacji z podkreślnikami, które kolidują z identyfikatorami z kropkami innych dzierżawców, powodując błędne kierowanie wersji zapoznawczych i odmowę dostępu do wersji zapoznawczych dla ofiar.

Podatność w Capgo przed wersją 12.128.2 w punkcie końcowym accept_invitation powoduje, że konta użytkowników są tworzone przed weryfikacją captcha. Atakujący mogą ominąć ochronę captcha, wysyłając żądania POST z nieprawidłowymi tokenami captcha, co umożliwia tworzenie niechcianych kont i wypalanie linków zaproszeń.

Podatność w Capgo przed wersją 12.128.2 nie egzekwuje ograniczeń planu/kwoty na endpointcie /files/upload/attachments, co pozwala aplikacjom zablokowanym przez plan na tworzenie publicznie czytelnych obiektów R2. Atakujący mogą przesyłać dowolne załączniki przy użyciu kluczy API z zakresem upload, które omijają sprawdzanie planu, utrzymują się poza normalnymi metadanymi pakietu i przetrwają usunięcie aplikacji, umożliwiając nadużycie pamięci i przepustowości.

Podatność w Capgo przed wersją 12.128.2 ujawnia informacje poprzez funkcję RPC get_orgs_v7(userid), która jest publicznie wywoływalna mimo zamierzonej prywatnej kontroli dostępu. Nieuwierzytelnieni atakujący mogą podać dowolne UUID użytkownika, aby pobrać dane o członkostwie w organizacjach, rolach, służbowych adresach e-mail i metadanych rozliczeniowych innych użytkowników.

Podatność w Capgo przed wersją 12.128.2 polega na braku usuwania metadanych EXIF z obrazów przesyłanych przez endpoint informacji o aplikacji. Umożliwia to atakującym wyodrębnienie danych geolokalizacyjnych i innych metadanych z przesłanych plików.

Podatność w Capgo przed wersją 12.128.2 wynika z błędu autoryzacji w funkcji transfer_app(), która nie aktualizuje pola deploy_history.owner_org podczas przenoszenia aplikacji między organizacjami. Atakujący mogą wykorzystać to przeoczenie, aby zachować nieautoryzowany dostęp do historii wdrożeń w źródłowej organizacji lub spowodować utratę dostępu do przeniesionych rekordów wdrożeń w docelowej organizacji.

Podatność HTML injection w Capgo przed wersją 12.128.2 w punkcie końcowym ustawień organizacji umożliwia atakującym wstrzyknięcie złośliwego kodu HTML. Poprzez pole nazwy organizacji mogą oni przekierowywać użytkowników na niebezpieczne strony, co prowadzi do ataków phishingowych i szkód w reputacji.

Podatność w Capgo przed wersją 12.128.2 pozwala kluczom API z ograniczeniami do przesyłania modyfikować pole app_versions.r2_path przez PostgREST, co umożliwia przekierowanie do dowolnych obiektów R2. Atakujący może ustawić r2_path na obiekt ofiary, usunąć swoją wersję i wywołać funkcję czyszczącą on_version_update, która usunie obiekt ofiary, powodując denial of service.

Podatność w Capgo przed wersją 12.128.2 umożliwia złamanie kontroli dostępu w API zarządzania organizacjami. Klucz API z ograniczeniem do konkretnych organizacji dziedziczy uprawnienia właściciela, co pozwala na destrukcyjne operacje międzyorganizacyjne.

Podatność w Capgo przed wersją 12.128.2 umożliwia nieuwierzytelnionym atakującym dostęp do wrażliwych danych organizacyjnych użytkowników poprzez funkcję RPC public.get_orgs_v6. Funkcja ta, zdefiniowana jako SECURITY DEFINER i przypisana do roli anon, nie weryfikuje zgodności identyfikatora UUID użytkownika z uwierzytelnionym kontekstem.

Podatność w Capgo przed wersją 12.128.2 umożliwia ominięcie polityki szyfrowania pakietów. Atakujący z kluczem API o zakresie aplikacji może zaktualizować tabelę app_versions, usuwając pola session_key i key_id, co pozwala na zastąpienie zaszyfrowanych pakietów nieszyfrowanymi.

Capgo w wersjach przed 12.128.2 zawiera podatność na ujawnienie informacji w nieautoryzowanym punkcie końcowym /updates, który rozwiązuje parametr defaultChannel przed nałożeniem ograniczeń prywatności. Umożliwia to atakującym enumerację prywatnych kanałów oraz ujawnienie stanu wersji i konfiguracji.

Capgo w wersjach przed 12.128.2 zawiera lukę umożliwiającą obejście zabezpieczeń, w której PostgREST/RLS akceptuje niezaszyfrowane klucze API przez nagłówek capgkey, mimo że włączono enforce_hashed_api_keys. Atakujący mogą ominąć egzekwowanie kluczy haszowanych na poziomie organizacji, wysyłając niezaszyfrowane klucze API bezpośrednio do PostgREST/RLS w celu uzyskania dostępu do chronionych zasobów.

Capgo przed wersją 12.128.2 zawiera podatność na walidację poświadczeń w punkcie końcowym POST /functions/v1/private/validate_password_compliance, który można wywołać tylko za pomocą publicznego klucza Supabase bez uwierzytelnienia. Punkt końcowy jest zgodny z CORS i nie ma ograniczeń dotyczących liczby żądań, co umożliwia atakującym przeprowadzanie ataków typu password spraying i credential stuffing.

Podatność w Capgo przed wersją 12.128.2 ujawnia informacje o organizacjach poprzez funkcję RPC Supabase PostgREST. Nieuwierzytelnieni atakujący mogą wyliczać identyfikatory organizacji, wysyłając zapytania z kluczem API i analizując różne komunikaty błędów.

Podatność w Capgo przed wersją 12.128.2 umożliwia nieuwierzytelnionym atakującym odczytanie wewnętrznych identyfikatorów org_id i provider_id poprzez endpoint /private/sso/check-domain. Pozwala to na mapowanie domen email na identyfikatory UUID organizacji i dostawców SSO, co ułatwia rozpoznanie infrastruktury.

Podatność w Capgo przed wersją 12.128.2 umożliwia administratorom przedsiębiorstwa usuwanie tożsamości haseł użytkowników z innych organizacji poprzez endpoint SSO prelink. Atakujący z uprawnieniami org.update_settings i aktywnym dostawcą SSO mogą trwale usunąć uwierzytelnianie e-mailowe dla dowolnego użytkownika pasującego do domeny e-mail dostawcy.

Podatność w Capgo przed wersją 12.128.2 umożliwia zmianę adresu e-mail konta bez wymagania ponownego uwierzytelnienia bieżącym hasłem lub weryfikacji istniejącego adresu e-mail. Atakujący posiadający ważny plik cookie sesji lub uwierzytelnioną przeglądarkę może zmienić adres e-mail konta, przejmując kontrolę nad odzyskiwaniem konta i omijając ochronę uwierzytelniania wieloskładnikowego.

Capgo przed wersją 12.128.2 zawiera podatność na wstrzykiwanie SQL w punkcie końcowym POST /private/admin_stats. Parametr limit jest pobierany z niezweryfikowanego ciała żądania i bezpośrednio interpolowany do zapytań SQL silnika Cloudflare Analytics Engine za pomocą literałów szablonów.

Podatność w Capgo przed wersją 12.128.2 w punkcie końcowym POST /webhooks/test umożliwia kluczom API o zakresie aplikacji wywoływanie operacji webhooków na poziomie organizacji. Atakujący z poświadczeniami ograniczonymi do aplikacji mogą wysyłać podpisane żądania webhooków do dowolnych webhooków organizacji, omijając kontrolę autoryzacji limited_to_apps.

W Capgo przed wersją 12.128.2 występuje luka w eskalacji uprawnień, gdzie zdegradowani użytkownicy super_admin zachowują dostęp do RPC delete_non_compliant_bundles i count_non_compliant_bundles z powodu nieczyszczenia kolumny org_users.user_right podczas usuwania powiązania roli. Atakujący mogą wykorzystać to, utrzymując wcześniej przyznaną rolę super_admin, aby bezterminowo wyliczać i masowo usuwać niezgodne pakiety w całej organizacji.

Podatność w Capgo przed wersją 12.128.2 umożliwia nieuwierzytelnionym atakującym odczyt wrażliwych danych finansowych i operacyjnych poprzez endpoint global_stats Supabase PostgREST. Wykorzystując jedynie publiczny klucz API, można pobrać dane takie jak MRR, całkowity przychód, podział przychodów według planów taryfowych, liczbę klientów oraz telemetrię operacyjną.

Capgo przed wersją 12.128.2 zawiera lukę ujawnienia informacji w funkcji PostgreSQL find_apikey_by_value, która jest oznaczona jako SECURITY DEFINER i wykonywalna przez rolę anon. Nieuwierzytelnieni atakujący mogą wywołać tę funkcję przez endpoint /rest/v1/rpc/find_apikey_by_value, aby pobrać wrażliwe metadane klucza API, w tym user_id, tryb, zakres organizacyjny i szczegóły wygaśnięcia, po podaniu prawidłowej wartości klucza.

Podatność w Capgo przed wersją 12.128.12 umożliwia ominięcie autoryzacji rozliczeniowej poprzez rozbieżność w obliczeniach plan_valid. Organizacje z wyczerpanymi lub przedawnionymi kredytami mogą nadal korzystać z endpointów /updates, /stats, /channel_self oraz przesyłania załączników.

Podatność w Capgo przed wersją 12.128.2 umożliwia ominięcie uwierzytelniania w punkcie końcowym zmiany hasła. Atakujący mogą zmienić hasło użytkownika bez potwierdzenia bieżącego hasła.

Podatność w Capgo przed wersją 12.128.2 ujawnia informacje poprzez funkcję RPC Supabase PostgREST public.get_total_metrics(org_id), która jest dostępna dla roli anon przy użyciu publicznego klucza sb_publishable_*. Nieuwierzytelniony atakujący może sprawdzać istnienie organizacji i wyciekać poufne dane, takie jak MAU, przepustowość i liczba instalacji, wysyłając żądania POST do /rest/v1/rpc/get_total_metrics z prawidłowymi UUID organizacji.

Podatność w Capgo przed wersją 12.128.2 umożliwia ominięcie autoryzacji w polityce INSERT dla public.manifest, co pozwala członkom organizacji z dostępem tylko do odczytu na wstawianie wierszy manifestu OTA. Atakujący z takim dostępem mogą wstrzykiwać złośliwe wpisy manifestu z dowolnymi wartościami s3_path, które są dostarczane do urządzeń przez nieuwierzytelniony endpoint /updates, prowadząc do zatrucia metadanych OTA i potencjalnego dostarczenia złośliwych zasobów.

W Capgo przed wersją 12.128.2 brakuje polityki bezpieczeństwa na poziomie wierszy (RLS) dla tabeli build_requests, co uniemożliwia aktualizację statusu buildera przez klucze API i anonimowy dostęp. Atakujący mogą wykorzystać ten brak, aby uniemożliwić trwałe zapisywanie statusu i szczegółów błędów, pozostawiając wiersze build_requests w stanie oczekiwania z pustymi wartościami last_error.

Podatność w Capgo przed wersją 12.128.2 umożliwia ominięcie walidacji po stronie serwera w ustawieniach bezpieczeństwa organizacji. Uwierzytelnieni administratorzy organizacji mogą utrwalić nieprawidłowy stan polityki bezpieczeństwa, bezpośrednio aktualizując tabelę public.orgs z przeglądarki.

Podatność w Capgo przed wersją 12.128.2 wynika z nieprawidłowej obsługi błędów w punkcie końcowym /private/accept_invitation. Zamiast bezpiecznych błędów 4xx, serwer zwraca kod 500, gdy magic_invite_string jest nieprawidłowy, co pozwala atakującym na ujawnienie szczegółów wewnętrznego przetwarzania.

Podatność w Capgo przed wersją 12.128.2 pozwala na współistnienie wielu publicznych kanałów dla tej samej aplikacji i platformy, podczas gdy niezidentyfikowane żądania /updates bez domyślnego kanału niejawnie rozstrzygają się na pojedynczy ukryty kanał. Autoryzowany menedżer aplikacji lub kanału może stworzyć niejednoznaczny domyślny stan aktualizacji i po cichu wpływać na to, który pakiet otrzymują nienazwani klienci, naruszając integralność i przewidywalność procesu wydawania.

Podatność w Capgo przed wersją 12.128.2 umożliwia nieuwierzytelnionym atakującym enumerację istniejących organizacji poprzez funkcję RPC public.invite_user_to_org. Atakujący mogą wykorzystać klucz API do wywołania funkcji SECURITY DEFINER i na podstawie różnych odpowiedzi błędów (NO_ORG vs NO_RIGHTS) stwierdzić, czy dany identyfikator organizacji istnieje.

Podatność w Capgo przed wersją 12.128.2 w punkcie końcowym POST /private/create_device pozwala uwierzytelnionemu atakującemu na tworzenie rekordów urządzeń dla aplikacji przy użyciu identyfikatora organizacji innego niż właściciel aplikacji. Brak walidacji parametru org_id powoduje obejście granicy autoryzacji między organizacjami.

Podatność w Capgo przed wersją 12.128.2 ujawnia informacje poprzez endpoint /private/validate_password_compliance, który zwraca różne odpowiedzi błędów dla nieprawidłowych, nieistniejących i istniejących identyfikatorów organizacji. Nieuwierzytelnieni atakujący mogą wyliczać prawidłowe UUID organizacji, obserwując kody statusu i komunikaty błędów.

Podatność w Capgo przed wersją 12.128.2 umożliwia nieuwierzytelnionym atakującym wykorzystanie funkcji RPC get_user_id i get_org_perm_for_apikey do sprawdzania poprawności kluczy API oraz ujawniania identyfikatorów UUID użytkowników. Dzięki publicznemu kluczowi API atakujący mogą weryfikować wyciekłe klucze, enumerować użytkowników i aplikacje oraz określać poziomy uprawnień.

Podatność w Capgo przed wersją 12.128.2 umożliwia ominięcie uwierzytelniania w punkcie końcowym usuwania konta, pozwalając na usunięcie konta bez ponownego uwierzytelnienia hasłem lub dodatkowej weryfikacji. Atakujący mogą wykorzystać przejęcie sesji, ataki CSRF lub manipulację parametrami, co prowadzi do nieautoryzowanego usunięcia konta, utraty danych i odmowy usługi.

Podatność w Capgo przed wersją 12.128.2 umożliwia ominięcie autoryzacji w punkcie końcowym tworzenia kanałów. Uwierzytelnieni użytkownicy mogą nadpisywać istniejące kanały, ponownie wykorzystując ich nazwy.

Podatność w Capgo przed wersją 12.128.2 umożliwia administratorom organizacji przypisywanie ról RBAC o zasięgu organizacyjnym na poziomie aplikacji bez walidacji zgodności zakresu, w tym dla oczekujących zaproszeń. Atakujący mogą wstępnie utworzyć nieprawidłowe powiązania o wysokich uprawnieniach, które przetrwają akceptację zaproszenia, umożliwiając użytkownikom o niskich uprawnieniach wykonywanie nieautoryzowanych uprzywilejowanych działań w aplikacji.

Capgo przed wersją 12.128.2 zawiera podatność na przechodzenie ścieżek w proxy przesyłania plików, która umożliwia uwierzytelnionym użytkownikom z uprawnieniami do budowania ominięcie ograniczeń przesyłania. Atakujący mogą dołączać sekwencje przechodzenia do ścieżki przesyłania, które są normalizowane przez parser URL WHATWG, co umożliwia dostęp do wewnętrznych punktów końcowych administracyjnych z uprzywilejowanym nagłówkiem BUILDER_API_KEY i prowadzi do eskalacji uprawnień po stronie serwera.

Podatność w Capgo przed wersją 12.128.2 polega na nieprawidłowej autoryzacji na poziomie obiektu w funkcji middlewareKey(). Funkcja ta akceptuje nagłówek x-limited-key-id kontrolowany przez klienta bez weryfikacji własności, co pozwala uwierzytelnionym użytkownikom na przejmowanie kluczy ograniczonych z innych dzierżawców. Atakujący może podać identyfikator klucza innego dzierżawcy, aby ominąć kontrole autoryzacji i uzyskać dostęp do nieautoryzowanych zasobów między dzierżawcami w wielu punktach końcowych API.

Podatność w Capgo console.capgo.app/login przed wersją 12.128.2 polega na akceptowaniu tokenów access_token i refresh_token w parametrach zapytania URL, co umożliwia automatyczne uwierzytelnianie użytkowników bez ich potwierdzenia. Atakujący mogą tworzyć złośliwe linki, które zmuszają ofiary do korzystania z sesji kontrolowanych przez atakującego, narażając tokeny na ujawnienie w historii przeglądarki i logach.

Podatność w Capgo przed wersją 12.128.2 umożliwia nieuwierzytelnionym atakującym ominięcie autoryzacji w funkcji public.get_org_user_access_rbac. Poprzez niewłaściwe porównanie wartości NULL w bramce autoryzacji, atakujący mogą ujawnić powiązania ról RBAC oraz adresy e-mail członków organizacji, wykorzystując jedynie publiczny klucz API.

Capgo w wersjach przed 12.128.2 zawiera podatność na odmowę usługi w punkcie końcowym /auth/v1/otp, która uniemożliwia weryfikację e-mailową dla uwierzytelniania dwuskładnikowego z powodu niepowodzeń walidacji captcha.

Capgo w wersjach przed 12.128.2 zawiera podatność na ujawnienie informacji w funkcji public.exist_app_v2 RPC, która pozwala nieautoryzowanym atakującym na enumerację app_id poprzez wywołanie POST /rest/v1/rpc/exist_app_v2 z dowolnymi parametrami appid.

Capgo w wersjach przed 12.128.2 zawiera niezabezpieczony zbiornik obrazów, który nie ma żadnych kontroli bezpieczeństwa na poziomie wiersza, co pozwala nieautoryzowanym atakującym na odczyt, wstawianie i usuwanie przechowywanych ikon aplikacji.

Capgo w wersjach przed 12.128.2 umożliwia bezpośrednie modyfikowanie public.apps.owner_org za pomocą PostgREST, omijając proces transfer_app() i tworząc rozdzieloną własność. Atakujący mogą bezpośrednio aktualizować apps.owner_org, pozostawiając app_versions.owner_org bez zmian.

Capgo przed wersją 12.128.2 wymusza obowiązkową dwuetapową weryfikację tylko na poziomie interfejsu użytkownika. Wrażliwe punkty końcowe API zarządzania organizacją nie weryfikują zakończenia 2FA na zapleczu, co pozwala na obejście wymogu 2FA przez uwierzytelnionego użytkownika Admin, który nie włączył 2FA.

Capgo w wersjach przed 12.128.2 pozwala na odczyt sekretów podpisów webhooków przez nieadministracyjne klucze API z powodu niewystarczających polityk bezpieczeństwa na poziomie wierszy w tabeli webhooków. Atakujący mogą uzyskać sekret webhooka i sfałszować nagłówki X-Capgo-Signature, co prowadzi do wysyłania uwierzytelnionych zdarzeń webhook do skonfigurowanych odbiorców.

Capgo w wersjach przed 12.128.2 nie egzekwuje ograniczeń limited_to_orgs i limited_to_apps dla subkluczy przekazywanych za pomocą nagłówka x-limited-key-id w funkcji middlewareKey. Atakujący mogą obejść ograniczenia zakresu subkluczy, odwołując się do własnych subkluczy.