Podatności Capgo

Capgo w wersjach przed 12.128.2 zawiera niezabezpieczony zbiornik obrazów, który nie ma żadnych kontroli bezpieczeństwa na poziomie wiersza, co pozwala nieautoryzowanym atakującym na odczyt, wstawianie i usuwanie przechowywanych ikon aplikacji.

Capgo w wersjach przed 12.128.2 umożliwia bezpośrednie modyfikowanie public.apps.owner_org za pomocą PostgREST, omijając proces transfer_app() i tworząc rozdzieloną własność. Atakujący mogą bezpośrednio aktualizować apps.owner_org, pozostawiając app_versions.owner_org bez zmian.

Capgo przed wersją 12.128.2 wymusza obowiązkową dwuetapową weryfikację tylko na poziomie interfejsu użytkownika. Wrażliwe punkty końcowe API zarządzania organizacją nie weryfikują zakończenia 2FA na zapleczu, co pozwala na obejście wymogu 2FA przez uwierzytelnionego użytkownika Admin, który nie włączył 2FA.

Capgo w wersjach przed 12.128.2 pozwala na odczyt sekretów podpisów webhooków przez nieadministracyjne klucze API z powodu niewystarczających polityk bezpieczeństwa na poziomie wierszy w tabeli webhooków. Atakujący mogą uzyskać sekret webhooka i sfałszować nagłówki X-Capgo-Signature, co prowadzi do wysyłania uwierzytelnionych zdarzeń webhook do skonfigurowanych odbiorców.

Capgo w wersjach przed 12.128.2 nie egzekwuje ograniczeń limited_to_orgs i limited_to_apps dla subkluczy przekazywanych za pomocą nagłówka x-limited-key-id w funkcji middlewareKey. Atakujący mogą obejść ograniczenia zakresu subkluczy, odwołując się do własnych subkluczy.

Capgo w wersji przed 12.128.2 zawiera podatność BOLA (broken object level authorization) w punktach końcowych POST /build/start/:jobId oraz POST /build/cancel/:jobId. Atakujący może wykorzystać kontrolowane przez siebie app_id do autoryzacji żądań, co pozwala na uruchamianie lub anulowanie zadań budowy innych najemców.

Capgo przed wersją 12.128.2 zawiera podatność na przejęcie konta SSO w różnych domenach w punkcie końcowym provision-user, co pozwala atakującym na łączenie dowolnych kont ofiar na podstawie dopasowania adresu e-mail bez weryfikacji autoryzacji domeny dostawcy SSO.

Capgo przed wersją 12.128.2 zawiera lukę w autoryzacji w POST /private/role_bindings, która nie weryfikuje własności app_id podczas tworzenia powiązań ról w zakresie aplikacji. Atakujący z uprawnieniami administracyjnymi w jednej organizacji może tworzyć powiązania ról, które celują w aplikacje należące do innych organizacji.

Capgo w wersjach przed 12.128.2 zawiera podatność na obejście limitu szybkości w punkcie końcowym channel_self, co pozwala atakującym na ominięcie ograniczeń poprzez rotację parametru device_id kontrolowanego przez użytkownika.

Capgo w wersjach przed 12.128.2 zawiera podatność na ujawnienie informacji w punkcie końcowym /functions/v1/channel_self, która pozwala nieautoryzowanym atakującym na enumerację nazw kanałów niepublicznych oraz określenie istnienia aplikacji i statusu subskrypcji. Atakujący mogą wysyłać żądania GET z dowolnymi parametrami app_id, aby ujawniać wewnętrzne kanały wdrożeniowe.

Capgo w wersjach przed 12.128.12 nie filtruje usuniętych wersji aplikacji podczas łączenia kanałów w trakcie rozwiązywania aktualizacji, co pozwala na pozostawienie usuniętych pakietów jako dostępnych do wyboru.

Capgo przed wersją 12.128.2 zawiera lukę w autoryzacji w funkcji public.get_current_plan_max_org RPC, która pozwala nieautoryzowanym atakującym na uzyskanie limitów planów organizacji. Atakujący mogą wywołać punkt końcowy RPC z dowolnym UUID organizacji, używając tylko publicznego klucza Supabase, aby ujawnić informacje o rozliczeniach.

Capgo w wersjach przed 12.128.2 zawiera słabą podatność w analizie nagłówka x-limited-key-id, która pozwala atakującym na obejście egzekwowania subkluczy poprzez przesyłanie nieprawidłowych wartości, zerowych lub zduplikowanych nagłówków, co prowadzi do wartości NaN lub fałszywych.

Capgo w wersjach przed 12.128.2 zawiera podatność na odmowę usługi w punkcie końcowym POST /app/demo, która pozwala uwierzytelnionym użytkownikom z uprawnieniami do zapisu w organizacji na tworzenie nieograniczonej liczby aplikacji demo bez ograniczeń prędkości lub egzekwowania kwot.

Capgo w wersjach przed 12.128.2 zawiera podatność na obejście uwierzytelniania w punkcie końcowym /build/upload/:jobId/*. Umożliwia to nieautoryzowanym atakującym wywoływanie błędów 500.

Capgo w wersjach przed 12.128.2 zawiera lukę w kontroli dostępu w funkcji public.get_org_members RPC, która pozwala nieautoryzowanym atakującym na enumerację członków organizacji. Atakujący mogą wykorzystać klucz publiczny sb_publishable_* oraz UUID organizacji do uzyskania wrażliwych informacji o członkach, w tym adresów e-mail, identyfikatorów użytkowników, ról oraz oczekujących zaproszeń.

Capgo w wersjach przed 12.128.2 zawiera wadliwą politykę bezpieczeństwa na poziomie wiersza w tabeli org_users, która pozwala uwierzytelnionym użytkownikom na podniesienie uprawnień z admin do super_admin. Atakujący mogą wykorzystać niewystarczające egzekwowanie RLS, aby uzyskać nieautoryzowany dostęp do super_admin.

Capgo w wersjach przed 12.128.2 zawiera nieautoryzowaną funkcję RPC get_identity_apikey_only, która zwraca identyfikator użytkownika dla podanych kluczy API. To stwarza możliwość potwierdzenia ważności kluczy API oraz ujawnienia tożsamości użytkowników.

Capgo przed wersją 12.128.2 zawiera potencjalną podatność na eskalację uprawnień w funkcji public.apply_usage_overage SECURITY DEFINER, która wykonuje wrażliwe operacje billingowe bez wymuszania wewnętrznych kontroli autoryzacji. Funkcja ta działa z uprawnieniami właściciela, co omija zabezpieczenia na poziomie wiersza.

Capgo w wersjach przed 12.128.2 zawiera lukę w autoryzacji w punktach końcowych /build/status i /build/logs, która pozwala atakującym na dostęp do zadań budowy należących do różnych aplikacji poprzez podanie niezgodnej kombinacji app_id i job_id.

Capgo w wersjach przed 12.128.2 zawiera podatność na otwarte przekierowanie w punkcie końcowym confirm-signup, co pozwala atakującym na przekierowywanie użytkowników do dowolnych zewnętrznych stron internetowych. Parametr confirmation_url nie jest walidowany, co umożliwia tworzenie złośliwych linków do ataków phishingowych i zbierania danych uwierzytelniających.

Capgo w wersjach przed 12.128.2 zawiera podatność na otwarte przekierowanie w punktach końcowych stripe_portal i stripe_checkout, które akceptują niezweryfikowane parametry callbackUrl, successUrl i cancelUrl.

Capgo w wersjach przed 12.128.2 używa dopasowania wzorców ILIKE zamiast dokładnego dopasowania dla identyfikatora aplikacji (app_id) w resolverze subdomeny podglądu. To pozwala na wykorzystanie znaków podkreślenia w app_id jako symboli wieloznacznych SQL, co może prowadzić do niezamierzonych dopasowań wzorców.

Capgo w wersjach przed 12.128.2 zawiera podatność na ujawnienie informacji w punkcie końcowym GET /statistics/app/:app_id, która pozwala na rozróżnienie istniejących identyfikatorów aplikacji przez klucze API o ograniczonym dostępie. Atakujący mogą enumerować rzeczywiste identyfikatory aplikacji, obserwując różnice w odpowiedziach błędów.

Capgo w wersjach przed 12.128.2 zawiera lukę w autoryzacji w punktach końcowych zarządzania webhookami, która pozwala na ominięcie polityki wymogu wygasania kluczy API. Funkcja checkWebhookPermission nie wywołuje apikeyHasOrgRightWithPolicy, co umożliwia atakującym z przestarzałymi kluczami nie wygasającymi na listowanie, tworzenie i usuwanie webhooków.

Capgo w wersjach przed 12.128.2 zawiera podatność na ujawnienie informacji w nieautoryzowanym punkcie końcowym /replication, który ujawnia wewnętrzną telemetrię replikacji PostgreSQL, w tym nazwy slotów i pozycje WAL LSN. Atakujący mogą uzyskać dostęp do tego punktu końcowego bez uwierzytelnienia, aby pozyskać wrażliwe szczegóły infrastruktury.

Capgo przed wersją 12.128.2 nie egzekwuje maksymalnej wartości dla minimalnej długości hasła w konfiguracji polityki haseł. Administratorzy organizacji mogą ustawić ekstremalnie dużą wartość jako minimalną długość hasła, co uniemożliwia spełnienie wymagań dla wszystkich członków organizacji.

Capgo w wersjach przed 12.128.2 zawiera podatność typu server-side request forgery w walidacji URL webhooków, co pozwala na wykorzystanie adresów loopback i wewnętrznych. Administratorzy organizacji mogą konfigurować webhooki wskazujące na localhost lub 127.0.0.1, co prowadzi do wykonywania żądań wychodzących do tych adresów.

Capgo w wersjach przed 12.128.2 nie usuwa metadanych EXIF, w tym danych geolokalizacyjnych GPS z przesyłanych obrazów, co prowadzi do ujawnienia informacji. Atakujący mogą pobrać przesłane obrazy i wydobyć dokładne współrzędne geograficzne, ujawniając fizyczną lokalizację użytkownika w momencie wykonania zdjęcia.

Capgo w wersjach przed 12.128.2 zawiera podatność na eskalację zakresu w punkcie końcowym POST /functions/v1/apikey, która pozwala na generowanie nieograniczonych kluczy API przez klucze z ograniczeniami aplikacji poprzez ustawienie pustych limitów.

Capgo w wersjach przed 12.128.12 pozwala uwierzytelnionym użytkownikom na modyfikację swojego adresu e-mail public.users.email na dowolny adres. Punkt końcowy SSO, który obsługuje przydzielanie użytkowników, ufa temu adresowi jako kluczowi do łączenia kont.

Capgo w wersjach przed 12.128.2 zawiera podatność na ujawnienie informacji w punktach końcowych Supabase PostgREST RPC is_trial_org i is_paying_org, która pozwala nieautoryzowanym atakującym na enumerację organizacji oraz ujawnienie statusu płatności przy użyciu publicznego klucza sb_publishable.

Capgo w wersjach przed 12.128.2 zawiera lukę w autoryzacji w funkcji public.upsert_version_meta, która jest udostępniana przez PostgREST RPC. Umożliwia to nieautoryzowanym atakującym wstawianie dowolnych wierszy do version_meta dla dowolnego app_id.

Capgo przed wersją 12.128.2 zawiera błąd w logice uwierzytelniania, który pozwala użytkownikowi z uprawnieniami do zarządzania ustawieniami bezpieczeństwa zespołu lub organizacji na włączenie obowiązkowej dwuetapowej weryfikacji dla wszystkich członków zespołu bez wcześniejszego włączenia 2FA na własnym koncie.

Capgo przed wersją 12.128.2 zawiera podatność na niewłaściwą kontrolę dostępu w funkcji RPC PostgREST public.record_build_time, która jest dostępna dla roli anon i może być wywoływana za pomocą publicznego klucza anon. Atakujący bez uwierzytelnienia może wstawiać wiersze do public.build_logs dla dowolnych organizacji, co pozwala na modyfikację istniejących rekordów użycia/billingu.

Capgo w wersjach przed 12.128.2 zawiera błąd w funkcji egzekwowania polityki haseł. Po tym, jak Super Admin włączy politykę i pomyślnie zmieni swoje hasło na zgodne, backend nie aktualizuje stanu zgodności hasła, co prowadzi do ciągłych żądań resetowania hasła.

Capgo przed wersją 12.128.2 zawiera lukę w autoryzacji między najemcami w punktach końcowych PostgREST, która pozwala na dostęp do sekretów webhooków i dzienników dostaw innych najemców za pomocą kluczy API o zakresie organizacji.

Podatność w Capgo przed wersją 12.128.2 umożliwia atakującym rejestrację kont przy użyciu dowolnych adresów e-mail bez weryfikacji, a następnie inicjację usunięcia, co blokuje adres e-mail w stanie oczekiwania na usunięcie. Atakujący mogą trwale zablokować legalnym użytkownikom dostęp do platformy na 30 dni, wykorzystując niezweryfikowaną własność e-maila w operacjach cyklu życia konta.

Podatność w Capgo przed wersją 12.128.2. Po zmianie lub usunięciu zdjęcia profilowego przez użytkownika, stare pliki nie są usuwane z backend storage. Atakujący mogą uzyskać dostęp do osieroconych plików przez wcześniej wygenerowane URL-e.