CVE-2026-100621 - Vuln Watch

判定

概要: r2-direct 状態の app_versions 行がコンテンツロックの対象外となり、配信に重要な列を変更できるアクセス制御不備です。
影響: 必要な書き込み・アップロード権限を持つ Capgo API キーの保有者が、バンドルのメタデータを変更し、その内容を `/updates` 経由でデバイスに配信させる可能性があります。
対象: Capgo (capgo.app) の全バージョン。
対策: 公開時点で修正版はありません。
判定: AV:N / PR:L / UI:N（CNA・CVSS 4.0）／該当する攻撃能力なし
出典: CVE.org: CVE-2026-100621

GitHub Security Advisory (GHSA-5rg9-rhwj-wj76)

VulnCheck Advisory: capgo.app Content-Lock Bypass via r2-direct Bundle Mutation

出所	版	AV / PR / UI	ベクトル	出所側の更新日時
CNA（採用）	4.0	AV:N / PR:L / UI:N	CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N	2026-10-01 02:20
CNA	3.1	AV:N / PR:L / UI:N	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N	2026-10-01 02:20

RCE ・ CNA の説明文
causing altered bundle metadata (for example checksum and session_key) to be served to devices through `/updates`.
認証回避・ CNA の説明文
An attacker holding a Capgo API key with bundle write/upload permission
シェル取得・ CNA の説明文
causing altered bundle metadata (for example checksum and session_key) to be served to devices through `/updates`.
root 取得・ CNA の CVSS 評価
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

モデル gpt-6-luna ・プロンプト 2026-10-10 ・ 2026-10-13 05:53 ・入力 SHA-256 207d26ddde9c

PostgreSQL — 説明文で一致（AI の判定: 影響を受けるか非該当）

Capgo (capgo.app) contains an incomplete access-control/content-lock enforcement issue affecting all versions; no patch is available at the time of publication. The `enforce_encrypted_bundle_trigger` / `check_encrypted_bundle_on_insert` content lock in supabase/schemas/prod.sql exempts `app_versions` rows whose previous `storage_provider` is `r2-direct`, so delivery-critical columns (name, app_id, session_key, key_id, storage_provider, r2_path, external_url, checksum, manifest, native_packages) remain mutable while a row is in that state. Separately, the channel/version join used by the `/updates` endpoint (supabase/functions/_backend/utils/pg.ts) filters only deleted versions and does not exclude `r2-direct` versions, so such rows remain OTA-selectable. An attacker holding a Capgo API key with bundle write/upload permission can create or keep a bundle version in the `r2-direct` state, assign it to a channel, and then modify these fields via direct PostgREST requests, causing altered bundle metadata (for example checksum and session_key) to be served to devices through `/updates`. This bypasses the post-upload content immutability hardening added for a previous app_versions metadata-tampering issue.