CVE-2026-88861

सारांश

Capgo (Cap-go/capgo.app) में एक authentication bypass है जो सभी versions को प्रभावित करता है (प्रकाशन के समय कोई patched version उपलब्ध नहीं है)। Edge authorization path एक password-only Supabase aal1 session को privileged RBAC permissions का उपयोग करने की अनुमति देता है, भले ही account में एक verified MFA factor हो जिसका उपयोग session के लिए नहीं किया गया हो: Edge JWT middleware (supabase/functions/_backend/utils/hono_middleware.ts में foundJWT()) JWT को उसके assurance level को validate किए बिना स्वीकार करता है, और direct RBAC path (supabase/functions/_backend/utils/rbac.ts में checkPermission()/checkPermissionPg() जो public.rbac_check_permission_direct() को call करता है) session aal को pass या check किए बिना user ID के आधार पर authorize करता है, जबकि public.verify_mfa() control इसके विपरीत सही ढंग से aal2 की आवश्यकता रखता है। इसलिए एक attacker जो केवल victim का password जानता है, authenticate कर सकता है, एक persistent app-scoped app_admin API key बना सकता है जो aal1 session के logout होने के बाद भी valid रहती है, और privileged operations कर सकता है जैसे production OTA channel configurations को modify करना (एक public production channel को bundle 1.0.0 से 1.0.1 में बदलकर validate किया गया), जिससे MFA द्वारा प्रदान की गई सुरक्षा विफल हो जाती है।

• secdim-assurance-drift-challengePoC

  SecDim Challenge Builder repro CVE-2026-88861 से प्रेरित: विशेषाधिकार प्राप्त क्रेडेंशियल सीमा पर AAL1 MFA बायपास