30 секунд
UpGuard обнаружила более 16 тысяч баз Supabase с доступными таблицами, обследовав около 300 тысяч доменов. В схемах более половины открытых баз были признаки полей с персональными данными; несколько случаев проверили глубже. Результаты описал BleepingComputer 28 сентября. В нём карточные данные предположили по структуре таблиц. Владельцев приложений уведомили при выявлении значимого раскрытия.
Подробнее
Supabase предоставляет разработчикам базу данных и другие серверные функции. В обследованных случаях правила Row Level Security отсутствовали или не ограничивали доступ должным образом, а ключи использовались небезопасно. UpGuard проверяла доступность таблиц, затем оценивала возможные типы данных по их схемам. Выбор поиска таблицы users смещал выборку в сторону пользовательских данных.
В одном американском сервисе парковки были доступны данные более 100 тысяч клиентов: телефонные номера, история посещений и другие сведения. В канадском иммиграционном сервисе — данные примерно 5 тысяч пользователей и 884 пароля в открытом виде. Филиппинский OTP-сервис открыл более 100 тысяч SMS, в том числе обычную переписку водителей с пассажирами.
На возможные карточные данные в небольшой части баз указывала структура таблиц; их состав в сообщении не подтверждён. UpGuard уведомила владельцев при выявлении значимого раскрытия. Популярность Supabase среди разработчиков с ИИ-помощниками сама по себе не устанавливает, как был написан каждый затронутый сайт.
Что это значит
Скрытая страница не закрывает таблицу
Если правила базы разрешают чтение, отсутствие ссылки в интерфейсе не становится ограничением доступа. Поэтому у приложения на Supabase граница защиты проходит через разрешения таблиц и строк, а не только через видимые экраны.
Что именно увидела выборка
UpGuard искала признаки Supabase примерно у 300 тысяч доменов, начиная с таблицы users. Такой отбор тяготеет к пользовательским данным. Типы информации часто определяли по схемам: название поля подсказывает содержание, но не заменяет чтение записей; несколько случаев исследовали глубже.
Открытость и кража — разные события
Обнаруженная доступность показывает возможность раскрытия. Чтобы установить уже произошедшую кражу, нужна история обращений и дополнительные данные по сервису. Поэтому результаты обследования описывают открытые конфигурации, а не счётчик подтверждённых действий злоумышленников.
