判定
- 現在の判定
- Matched（該当）
- 攻撃条件
- 満たさない（AV・PR・UI がすべて N か）
- 攻撃能力
- 不明（RCE・認証回避・シェル取得・root 取得のいずれか）
- 根拠
- AV:N / PR:L / UI:N（CNA・CVSS 4.0） ／ 該当する攻撃能力なし
解説
- 概要
- Capgo が Supabase PostgREST 経由で公開する org_users テーブルの RLS ポリシーが、招待や適切なロール割り当ての確認を行わないことに起因します。
- 影響
- 組織の管理者権限を持つ認証済みユーザーが、既存ユーザーを招待・承認の手順を経ずに組織の管理者として追加できます。その結果、追加されたユーザーは組織やアプリにアクセスできます。
- 対象
- Capgo (capgo.app) の全バージョン。
- 対策
- 公開時点で修正パッチはありません。回避策の記載もありません。
- 判定
- AV:N / PR:L / UI:N（CNA・CVSS 4.0） ／ 該当する攻撃能力なし
CVSS 評価
| 出所 | 版 | AV / PR / UI | ベクトル | 出所側の更新日時 |
|---|---|---|---|---|
| CNA（採用） | 4.0 | AV:N / PR:L / UI:N | CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N | 2026-10-01 02:20 |
| CNA | 3.1 | AV:N / PR:L / UI:N | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H | 2026-10-01 02:20 |
攻撃能力（AI 判定）
| RCE | 不明 |
| 認証回避 | 非該当 |
| シェル取得 | 不明 |
| root 取得 | 不明 |
根拠
-
認証回避 ・ CNA の説明文
an authenticated user who is an admin of an organization can INSERT or UPDATE org_users rows directly
モデル gpt-6-luna ・ プロンプト 2026-10-10 ・ 2026-10-13 05:53 ・ 入力 SHA-256 a7fc06b95eea
一致した監視対象製品
-
PostgreSQL — 説明文で一致 （AI の判定: 影響を受けるか 非該当）
Capgo (capgo.app) exposes the legacy membership table public.org_users directly through Supabase PostgREST. The table's row-level security policies "Allow org admin to insert" and "Allow org admin to update" only verify that the caller has admin rights in the target organization (public.check_min_rights('admin', ...)); they do not require a pending invitation in tmp_users, acceptance of an invite token via /private/accept_invitation, any action by the target user, or the membership/role-consistency and anti-escalation checks enforced by the RBAC role-binding path. As a result, an authenticated user who is an admin of an organization can INSERT or UPDATE org_users rows directly to add any existing public.users account as an active member of that organization with user_right="admin", bypassing the invitation and role-assignment workflow entirely. In testing, an account with no prior access to the organization or its apps could, after such a direct insert, read the organization and app and pass check_min_rights. All versions are affected and no patch was available at the time of publication.
変更履歴
-
2026-10-01 02:20
- Matched（該当） と判定した
→ Matched（該当）