CVE-2026-100613

capgo.app è una piattaforma di aggiornamento over-the-air (OTA) per app Capacitor. In tutte le versioni fino all’attuale rilascio (nessun patch disponibile al momento della pubblicazione), la funzione `transfer_app()` del database trasferisce un’app, i suoi canali, versioni e record correlati a un’organizzazione di destinazione senza eliminare o revalidare le righe esistenti in `channel_permission_overrides`. Di conseguenza, un utente che deteneva legittimamente un override di permesso sul canale mentre era membro dell’organizzazione di origine mantiene tale override anche dopo il trasferimento, anche se non ha più alcuna membership né binding RBAC nell’organizzazione di destinazione. Utilizzando il proprio JWT autenticato contro l’API PostgREST, un ex membro può modificare il canale di proprietà della destinazione per puntare a un bundle diverso, causando l’erogazione da parte dell’endpoint /updates di una versione dell’applicazione scelta dall’attaccante ai dispositivi. La correzione proposta in precedenza per GHSA-626c-p6fq-3whq (PR #3093), che valida la membership dell’organizzazione quando viene creato o aggiornato un override, non rimuove gli override diventati obsoleti a seguito di un trasferimento dell’app.