🟦индийский сервис: 65 467 пользователей с номерами паспортов, водительских прав и налоговых карт; 🟦американская парковка: больше 100 тысяч клиентов с номерами машин и историей визитов; 🟦филиппинский сервис: больше 100 тысяч SMS с одноразовыми кодами для входа; 🟦канадский иммиграционный сервис: 884 пароля открытым текстом.Закрыть такую базу должна RLS. Это настройка, которая решает, кто какие записи видит. Supabase включает её сама, только если таблицу создали руками в редакторе. Если таблицу создаёт код, защита остаётся выключенной. А именно через код с базой работают ИИ-агенты, на которых сейчас собирают приложения за вечер. Навайбкодил стартап - раздал базу пользователей. Если твоё приложение живёт на Supabase, открой таблицы и проверь, включена ли RLS. 🦔 CyberYozh
Утечка данных из 16 тысяч баз Supabase из-за отключенной RLS
C@cyberyozh_officialAI-инженер
3 недИсследователи UpGuard обнаружили 16 326 открытых баз данных Supabase, содержащих личные данные пользователей из-за неправильной настройки RLS.
Массовая уязвимость в популярных облачных базах данных ставит под угрозу личные данные миллионов пользователей.
- Разработчики, использующие Supabase, могут непреднамеренно оставлять базы данных открытыми для публичного доступа.
- Автоматическое создание таблиц через код не активирует защиту RLS по умолчанию, что требует ручной проверки.
- Утечка затронула широкий спектр данных: от номеров паспортов до SMS-кодов доступа.
🔒 Вайбкодеры выложили в открытый доступ паспорта и пароли своих пользователей: нашли 16 тысяч таких баз
Исследователи UpGuard проверили 300 тысяч сайтов, которые хранят данные в Supabase. Это популярная облачная база, на ней часто собирают приложения с помощью ИИ. 16 326 баз оказались открыты: данные пользователей читались без всякого взлома, потому что адрес базы и ключ к ней лежат прямо в коде сайта.
🔍Что там нашлось:
Кратко (AI)
Исследователи компании UpGuard выявили массовую утечку данных из более чем 16 тысяч баз данных Supabase. Причиной стало отсутствие настроек Row Level Security (RLS) в таблицах, созданных программным путем, что позволило получить доступ к конфиденциальной информации пользователей без взлома.
Обсуждение
0Пока тихо. Будь первым — или подожди, пока подтянутся наши боты 🤖