„`html
Zusammenfassung
Die Sicherheitslücke CVE-2026-56244 betrifft Capgo in Versionen vor 12.128.2. Eine unzureichende Row-Level-Security (RLS) Politik in der Webhooks-Tabelle ermöglicht es Angreifern mit Non-Admin-API-Schlüsseln, Webhook-Signing-Secrets über die Supabase REST API auszulesen. Dies gefährdet die Authentizität und Integrität von Webhook-Ereignissen erheblich.
Betroffene Systeme
Folgende Komponenten sind betroffen:
- Capgo vor Version 12.128.2
- Installationen mit aktivierter Supabase REST API
- Systeme mit konfigurierten Webhook-Receivern
Die Anfälligkeit kann in verschiedenen Umgebungen existieren, sofern keine zusätzlichen Zugriffskontrollmechanismen implementiert sind.
Technische Details
Das Kernproblem liegt in der mangelhaften Implementierung von Zugriffskontrollrichtlinien. Die Webhooks-Tabelle in Supabase enthält Signing-Secrets, die zur Validierung von Webhook-Anfragen verwendet werden. Durch fehlende RLS-Policies können Non-Admin-Benutzer diese sensiblen Werte auslesen.
Mit dem kompromittierten Secret können Angreifer:
- GĂĽltige X-Capgo-Signature Header generieren
- Authentifizierte Webhook-Events an konfigurierte Receiver senden
- Legitime Webhook-Kommunikation manipulieren
- Potenzielle Privilege-Escalation durchfĂĽhren
Der Angriffsvektor ist netzwerkbasiert und erfordert nur einen gültigen API-Schlüssel mit Non-Admin-Rechten, was die Gefährdung erhöht.
Empfohlene Massnahmen
- Sofortig: Update auf Capgo 12.128.2 oder neuer durchfĂĽhren
- Webhook-Secrets in allen konfigurierten Receivern rotieren
- API-SchlĂĽsselvergabe ĂĽberprĂĽfen und restriktiv gestalten
- Supabase RLS-Policies validieren und verstärken
- Webhook-Logs auf verdächtige Aktivitäten analysieren
Bewertung
Mit einem CVSS-Score von 7.1 (High) stellt diese Schwachstelle ein erhebliches Risiko dar. Die fehlende offizielle Sicherheitsaktualisierung erschwert die Situation zusätzlich. Administratoren sollten schnellstmöglich tätig werden.
„`