CVE-2026-88861
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Capgo (Cap-go/capgo.app) zawiera obejście uwierzytelniania wpływające na wszystkie wersje (w momencie publikacji nie była dostępna żadna poprawiona wersja). Ścieżka autoryzacji Edge umożliwia sesji Supabase aal1 zawierającej tylko hasło wykonywanie uprzywilejowanych uprawnień RBAC, nawet jeśli konto ma zweryfikowany współczynnik MFA, który nie został użyty w sesji: oprogramowanie pośredniczące Edge JWT (foundJWT() w supabase/functions/_backend/utils/hono_middleware.ts) akceptuje JWT bez sprawdzania jego poziomu pewności, a bezpośrednia ścieżka RBAC (checkPermission()/checkPermissionPg() w supabase/functions/_backend/utils/rbac.ts wywołując public.rbac_check_permission_direct()) autoryzuje według identyfikatora użytkownika bez przekazywania lub sprawdzania aal sesji, w przeciwieństwie do kontrolki public.verify_mfa(), która poprawnie wymaga aal2. Osoba atakująca, która zna tylko hasło ofiary, może zatem dokonać uwierzytelnienia, utworzyć trwały klucz API app_admin o zasięgu aplikacji, który pozostaje ważny po wylogowaniu się z sesji aal1, i wykonać uprzywilejowane operacje, takie jak modyfikowanie konfiguracji produkcyjnego kanału OTA (sprawdzane poprzez zmianę publicznego kanału produkcyjnego z pakietu 1.0.0 na 1.0.1), pokonując ochronę zapewnianą przez usługę MFA.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org