概要
Capacitor アプリの OTA アップデートプラットフォーム Capgo（バージョン 12.128.2 未満）の Supabase public.apply_usage_overage SECURITY DEFINER 関数において、認可チェックが欠落しています。この関数は機密性の高い課金操作を行いますが、auth.uid() の検証、組織メンバーシップの確認、または check_min_rights の呼び出しを行いません。SECURITY DEFINER 関数はオーナーの権限で実行されるため Row Level Security をバイパスします。
authenticated または anon ロールに EXECUTE 権限がある場合、認証済みユーザーが Supabase RPC 経由でこの関数を呼び出し、任意の組織の課金データを操作（不正なクレジット消費や不正な超過イベント挿入など）できます。
CVSSベクトル
| 項目 | 値 |
|---|---|
| スコア | 7.6 (HIGH) |
| Attack Vector | Network |
| Attack Complexity | Low |
| Privileges Required | Low |
| User Interaction | None |
| Scope | Changed |
| Confidentiality | Low |
| Integrity | High |
| Availability | Low |
影響を受けるソフトウェア
| 製品 | ベンダー | バージョン |
|---|---|---|
| Capgo | Cap-go | < 12.128.2 |
修正バージョンと回避策
- 修正バージョン: Capgo 12.128.2 以降
関連リンク
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。