CVE-2026-100616
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
capgo.app to bezprzewodowa platforma aktualizacji aplikacji Capacitor. We wszystkich wersjach sprzed poprawki zasada zabezpieczeń UPDATE na poziomie wiersza w tabeli public.orgs umożliwia administratorowi organizacji (użytkownikowi posiadającemu uprawnienia org.update_settings) aktualizację całego wiersza, łącznie z kolumną wewnętrznego wskaźnika rozliczeniowego id_klienta. Oficjalny punkt końcowy aktualizacji organizacji (supabase/functions/_backend/public/organization/put.ts) umieszcza na liście dozwolonych tylko niewielki zestaw edytowalnych pól ustawień i wyklucza identyfikator_klienta, a prywatna trasa rozliczeniowa Stripe wymaga oddzielnie uprawnienia org.update_billing. Wysyłając aktualizację bezpośrednio do Supabase PostgREST, uwierzytelniony administrator organizacji bez org.update_billing może wyzerować lub uszkodzić wskaźnik klienta Stripe organizacji, powodując niepowodzenie kontroli planu i rozliczeń, które ufają orgs.customer_id i przeniesienie organizacji z prawidłowego stanu płatnego planu do zachowania nieopłaconego/braku planu. W momencie publikacji zalecenia nie była dostępna żadna poprawiona wersja.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org