🇰🇷 한글 설명
Capgo 12.128.2 이전 버전에서 Supabase PostgREST RPC 함수인 public.get_orgs_v6가 anon 역할에 권한이 부여되어 인증 없이 노출되는 취약점이 발견되었습니다. 공격자는 임의의 사용자 UUID를 입력하여 해당 사용자의 조직 멤버십, 역할, 구독 정보 및 관리자 이메일과 같은 개인정보(PII)를 탈취할 수 있습니다.
💡 쉬운 설명
로그인하지 않은 외부인이 다른 사용자의 아이디만 알면 그 사람의 소속 조직과 이메일 같은 개인정보를 몰래 조회할 수 있는 보안 결함입니다. 누구나 공개된 API 키를 이용해 특정 사용자의 정보를 마음대로 가져갈 수 있는 상태입니다.
🇺🇸 원문 (English)
Capgo (Cap-go/capgo) before 12.128.2 exposes the Supabase PostgREST RPC function public.get_orgs_v6(userid uuid), which is SECURITY DEFINER and granted to the anon role, allowing unauthenticated access. Because the function accepts a caller-supplied user UUID without verifying it matches the authenticated user, an attacker using only the public publishable API key can query POST /rest/v1/rpc/get_orgs_v6 with an arbitrary user UUID to retrieve that user's organization membership, roles, subscription/trial metadata, and management_email (PII).
📍 영향받는 시스템
Capgo version < 12.128.2
⚔️ 공격 벡터
인증되지 않은 상태에서 공개된 API 키를 사용하여 특정 사용자의 UUID를 포함한 POST /rest/v1/rpc/get_orgs_v6 요청을 전송
🛡️ 대응 방법
Capgo를 12.128.2 이상 버전으로 업데이트하고, 해당 RPC 함수의 SECURITY DEFINER 설정 및 anon 역할에 대한 권한을 재검토하십시오.
🔧 검증 코드
명령어 실행 시 인증 없이 특정 사용자의 조직 정보나 이메일 데이터가 JSON 형태로 반환되면 취약한 상태입니다.
curl -X POST https://<your-supabase-url>/rest/v1/rpc/get_orgs_v6 -H 'apikey: <your-anon-key>' -H 'Content-Type: application/json' -d '{"userid": "<target-uuid>"}'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access