CVE-2026-56214: Infolækage i Capgo afslører kunder
Capgo før 12.128.2 lader angribere uden login se, hvilke organisationer der betaler for tjenesten. Opdatér til 12.128.2.
Hvad er det?
CVE-2026-56214 er en informationslækage i Capgo, en tjeneste til at levere opdateringer over nettet til mobilapps bygget med Capacitor. Fejlen sidder i to funktioner i databasen, is_trial_org og is_paying_org, som kan kaldes via Supabase’s PostgREST, en teknologi der automatisk stiller databasefunktioner til rådighed som webadresser. Ved at bruge den offentlige sb_publishable-nøgle, som normalt er tilgængelig i appens kode, kan en angriber kalde disse funktioner direkte uden at logge ind. Svaret fra serveren afslører om en organisation findes, og om den er betalende kunde eller på prøveperiode.
Hvem rammer det?
Sårbarheden rammer virksomheder, der bruger Capgo i version før 12.128.2 til at distribuere opdateringer til deres mobilapps. Det gælder både SMV’er, der har outsourcet app-udvikling, og interne udviklingsteams, som har integreret Capgo i deres CI/CD-flow, den automatiske proces der bygger og udgiver app-opdateringer.
Hvad kan ske?
En angriber kan systematisk afprøve organisations-id’er og på den måde kortlægge, hvilke virksomheder der bruger Capgo, og hvilke af dem der er betalende kunder. Den information kan bruges til målrettet phishing mod betalende kunder, konkurrenceanalyse af hvem der investerer i produktet, eller som forberedelse til et grundigere angreb mod de organisationer, der viser sig værdifulde.
Hvor alvorligt er det?
CVSS-score er 7,5 af 10, kategoriseret som alvorlig. Angrebet kræver ingen login og ingen handling fra en bruger, det kan udføres over internettet med lav teknisk kompleksitet. Kun fortroligheden er i fare, ikke integritet eller tilgængelighed af data. Der er pr. offentliggørelsesdatoen ikke rapporteret aktiv udnyttelse i praksis, men den lave barriere for angreb gør det realistisk at forvente automatiseret afprøvning.
Hvad gør jeg nu?
Gør følgende for at lukke hullet og begrænse skaden:
- Opdatér Capgo til version 12.128.2 eller nyere, hvor de sårbare RPC-funktioner er rettet.
- Gennemgå adgangslogfiler for gentagne kald til is_trial_org og is_paying_org for at se, om jeres organisation allerede er blevet afsøgt.
- Bed jeres udbyder eller udvikler bekræfte, at Supabase-opsætningen begrænser adgang til RPC-funktioner efter opdateringen.
- Overvej at begrænse, hvilke oplysninger om betalingsstatus der overhovedet kan hentes via offentligt tilgængelige nøgler fremover.
- Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I ikke selv har mulighed for at verificere opdateringen eller vurdere jeres eksponering.
Opdatér inden for få dage
Vi anbefaler at opdatere til Capgo 12.128.2 eller nyere hurtigst muligt, fordi angrebet ikke kræver login og kan udføres automatiseret. Det er acceptabelt at vente til jeres næste planlagte opdateringsvindue, hvis det ligger inden for få dage, og hvis I i mellemtiden holder øje med usædvanlig trafik mod de nævnte funktioner.
Tidslinje
Konkrete eksempler
Konkurrent kortlægger betalende kunder
En dansk app-udbyder bruger Capgo til at opdatere sin app uden brugerens indblanding. En konkurrent finder den offentlige sb_publishable-nøgle i appens kode og bruger den til systematisk at afprøve organisations-id’er. På den måde kortlægger konkurrenten, hvilke virksomheder der er betalende kunder hos Capgo, og bruger informationen i sin markedsanalyse.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis jeres virksomhed bruger Capgo til at levere opdateringer til en mobilapp bygget med Capacitor, og hvis jeres version er ældre end 12.128.2. Spørg jeres udvikler eller app-leverandør, hvilken version der er i brug.
Hvordan tjekker vi, hvilken version af Capgo vi bruger?
Versionen kan ses i jeres projekts konfigurationsfiler eller ved at spørge den, der har opsat Capgo-integrationen. Er I i tvivl, kan Auroa hjælpe med at afklare det.
Kan vi vente til weekenden med at opdatere?
Ja, hvis det kun er få dage, og I i mellemtiden overvåger for gentagne forespørgsler til de nævnte funktioner. Vent ikke længere end nødvendigt, da angrebet ikke kræver login og kan automatiseres.
Skal vi anmelde dette til Datatilsynet?
Sårbarheden afslører kun organisationsnavne og betalingsstatus, ikke personoplysninger om enkeltpersoner. Vurderer I, at ingen persondata er lækket, er der som udgangspunkt ikke pligt til at anmelde. Er I i tvivl, bør I lave en konkret vurdering eller søge juridisk rådgivning.
Kræver angrebet, at angriberen logger ind hos os?
Nej. Angriberen bruger kun den offentlige sb_publishable-nøgle, som normalt allerede findes i appens kode, og behøver ingen adgangskode eller konto for at kalde de sårbare funktioner.
Hvad kan en angriber konkret se om os?
En angriber kan se, om jeres organisation findes i Capgo’s system, og om den er en betalende kunde eller på en prøveperiode. Det er ikke fakturaoplysninger eller kortoplysninger, men det kan bruges til at udpege jer som mål for videre angreb.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Capgo before 12.128.2 contains an information disclosure vulnerability in Supabase PostgREST RPC endpoints is_trial_org and is_paying_org that allows unauthenticated attackers to enumerate organizations and disclose billing status using the public sb_publishable key. Attackers can invoke these endpoints to determine organization existence via distinguishable return values and identify paying customers for targeted profiling.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.