🇰🇷 한글 설명
Capgo(12.128.2 이전 버전)의 SECURITY DEFINER PostgREST RPC 함수 public.record_build_time이 anon 역할에 권한이 부여되어 있어, 공개된 Supabase anon 키만으로 호출할 수 있습니다. 인증되지 않은 공격자가 임의의 조직에 대해 build_logs에 레코드를 삽입하고, ON CONFLICT 절을 악용해 기존 과금 기록을 덮어쓸 수 있습니다.
💡 쉬운 설명
인증 없이도 누구나 다른 고객사의 빌드 사용량 기록을 조작할 수 있는 취약점입니다. 이로 인해 과금 정보가 위변조되거나 부당한 요금이 청구될 수 있습니다.
🇺🇸 원문 (English)
Capgo (Cap-go/capgo) before 12.128.2 contains an improper access control vulnerability in the SECURITY DEFINER PostgREST RPC function public.record_build_time, which is granted to the anon role and callable with only the public Supabase publishable (sb_publishable_*) anon key. An unauthenticated attacker can insert rows into public.build_logs for arbitrary organizations and, because the function uses ON CONFLICT (build_id, org_id) DO UPDATE, can overwrite existing usage/billing records by reusing the same build_id for a target org. This enables cross-tenant tampering of billing build logs and financial-impact denial of service by inflating billable build time.
📍 영향받는 시스템
Capgo (Cap-go/capgo) 12.128.2 미만 버전
⚔️ 공격 벡터
공개된 sb_publishable_* anon 키로 record_build_time RPC를 호출해 대상 조직의 build_id를 재사용하여 과금 로그를 덮어쓰거나 빌드 시간을 부풀림
🛡️ 대응 방법
Capgo를 12.128.2 이상으로 업데이트하고, record_build_time 함수의 anon 실행 권한(EXECUTE)을 회수하며 함수 내부에서 호출자 조직 권한을 검증
🔧 검증 코드
출력된 버전이 12.128.2 미만이면 취약한 것이며, 12.128.2 이상이면 패치가 적용된 것입니다.
npm ls @capgo/capgo 2>/dev/null || grep -rn '"version"' package.json 2>/dev/null | grep -i capgo
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
💻 영향받는 소프트웨어
Windows iSCSI Target Service