CVE-2026-88861
Capgo AAL1 Bypass de MFA en Sesión mediante Autorización RBAC Directa
- Publicado
- 10 sept 2026
- Actualizado
- 30 sept 2026
- Asignación de CNA
- VulnCheck
- Evidencia observada
- 11 sept 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBajo · próximos 30 días
- Percentil
- 43,5 %
- Fecha del modelo
- 23 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Capgo (Cap-go/capgo.app) contiene un bypass de autenticación que afecta a todas las versiones (no hay versión parcheada disponible en el momento de la publicación). La ruta de autorización de Edge permite que una sesión de Supabase aal1 solo con contraseña ejerza permisos RBAC privilegiados incluso cuando la cuenta tiene un factor MFA verificado que no se ha utilizado para la sesión: el middleware JWT de Edge (foundJWT() en supabase/functions/_backend/utils/hono_middleware.ts) acepta el JWT sin validar su nivel de garantía, y la ruta directa de RBAC (checkPermission()/checkPermissionPg() en supabase/functions/_backend/utils/rbac.ts que llama a public.rbac_check_permission_direct()) autoriza por ID de usuario sin pasar ni comprobar el aal de la sesión, a diferencia del control public.verify_mfa() que requiere correctamente aal2. Un atacante que solo conoce la contraseña de la víctima puede, por lo tanto, autenticarse, generar una clave API app_admin persistente con alcance de aplicación que permanece válida después de que la sesión aal1 se cierre, y realizar operaciones privilegiadas como modificar configuraciones de canales OTA de producción (validado cambiando un canal de producción público del bundle 1.0.0 al 1.0.1), anulando la protección proporcionada por MFA.
Fuentes
Generador de retos de SecDim inspirado en CVE-2026-88861: omisión de MFA de AAL1 en el límite de credenciales privilegiadas
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.