🟠 CVE-2026-56339: High Schwachstelle

„`html

Zusammenfassung

Die Schwachstelle CVE-2026-56339 betrifft Capgo in Versionen vor 12.128.2. Eine Information Disclosure Vulnerabilität in der Supabase PostgREST SECURITY DEFINER RPC-Funktion public.rescind_invitation ermöglicht es unauthentizierten Angreifern, die Existenz von Organisationen zu enumrieren. Durch differenzierte Fehlermeldungen können Organisationskennungen identifiziert werden, was die Angriffsfläche erheblich vergrößert.

Betroffene Systeme

• Capgo (Cap-go/capgo) Versionen < 12.128.2
• Installationen mit aktivierter Supabase PostgREST Integration
• Systeme mit öffentlich zugänglichen API-Keys

Technische Details

Die RPC-Funktion public.rescind_invitation ist mit SECURITY DEFINER konfiguriert und validiert die Zugriffsberechtigung unzureichend. Beim Aufruf mit einem publishable API-Key unterscheiden sich die zurückgegebenen Fehlermeldungen je nach Organisationsstatus:

• NO_ORG: Organisation existiert nicht
• NO_RIGHTS: Organisation existiert, Zugriff verweigert

Angreifer können durch systematische Enumeration gültige Organisations-IDs identifizieren. Dies ermöglicht gezielte Phishing-Kampagnen oder Social-Engineering-Angriffe gegen spezifische Organisationen.

Angriffsvektor: Network | CVSS Score: 7.5 (High)

Empfohlene Massnahmen

• Sofort: Capgo auf Version 12.128.2 oder höher aktualisieren
• Supabase-Konfiguration überprüfen und RPC-Funktionen auditieren
• Publishable API-Keys in Produktionsumgebungen einschränken
• Rate-Limiting für RPC-Funktionen implementieren
• Fehlermeldungen standardisieren, um Information Disclosure zu verhindern
• Zugriffsprotokolle überwachen auf verdächtige Enumrierungsversuche

Bewertung

Diese Vulnerabilität birgt erhebliche Risiken für Organisationen, die Capgo nutzen. Obwohl kein Patch verfügbar ist, ermöglicht die Enumration von Organisationen gezielte Angriffe. Eine zeitnahe Aktualisierung und Überprüfung der Sicherheitskonfiguration sind dringend erforderlich.

„`