UpGuard je pronašao 16.326 baza na Supabaseu čije tabele može da pročita svako

Istraživači UpGuarda su u JavaScriptu javnih sajtova tražili adrese Supabase baza i javne API ključeve. Zatim su svaku bazu pitali za podatke na isti način na koji to radi pregledač posjetioca. Kad baza odgovori redovima, može ih pročitati svako ko ima isti javni ključ. Brojke u izvještaju su mjerenje UpGuarda.

Kako je UpGuard brojao

Kandidate je UpGuard našao u dva skupa podataka. Prvi je BuiltWith, servis koji prepoznaje tehnologiju na kojoj su sajtovi napravljeni. Drugi je Chrome UX Report na BigQueryju, koji sadrži izvorne JavaScript datoteke. Iz oba skupa izdvojeno je oko 300.000 domena sa znakovima korišćenja Supabasea.

Za svaki domen UpGuard je tražio tabelu pod imenom users. Zaštićena baza takav zahtjev odbija. Nezaštićena vraća redove, a kad te tabele nema, kao nagovještaj navodi ime druge tabele koja se može čitati. Neobično ime tabele zato ništa ne skriva.

Prema mjerenju UpGuarda, 16.326 baza je izlagalo čitljive tabele. Sadržaj je procjenjivan po šemama tabela, a ne čitanjem svakog reda. Više od polovine baza imalo je znakove ličnih podataka, manji dio lozinke ili tokene za prijavu, a vrlo mali broj vjerovatne podatke o platnim karticama.

Šta je bilo u tabelama

Mali broj baza UpGuard je provjerio ručno, da potvrdi da su podaci stvarni. Kompanija navodi da je vlasnike obavijestila kad je izloženost bila ozbiljna. Među opisanim primjerima su:

• indijska platforma sa sadržajem za odrasle, sa 65.467 korisnika, podacima iz pasoša i vozačkih dozvola i više od 100.000 privatnih poruka;
• američka služba za parkiranje vozila gostiju, s više od 100.000 klijenata, od kojih oko 78.000 ima upisan broj registarske tablice;
• konzulat jedne afričke vlade, sa 25.000 korisnika i njihovim adresama stanovanja;
• kanadska služba za preseljenje, s gotovo 5.000 zapisa, od kojih 884 sadrži lozinku u običnom tekstu.

Zašto agenti za programiranje pogoršavaju stanje

Supabase tabele automatski izlaže preko REST API-ja. Koje redove zahtjev smije da pročita, određuje zaštita na nivou reda u Postgresu (Row Level Security, RLS). Supabase navodi da je RLS podrazumijevano uključen za tabele napravljene u njegovoj kontrolnoj tabli. Za tabele koje prave migracije ili spoljni alati preporučuje okidače događaja (event triggers), koji RLS uključuju automatski.

Prema UpGuardu, agenti za programiranje tabele po pravilu prave programski, preko API-ja, a tim putem se RLS ne uključuje sam. UpGuard je našao i pravila pristupa koja postoje, ali ništa ne ograničavaju, kao i javne ključeve korišćene kao da su tajni.

UpGuard se poziva i na spoljno istraživanje prema kojem je Supabase baza koju Claude Code najčešće preporučuje. Taj podatak potiče iz drugog izvora, a ne iz mjerenja UpGuarda.

Šta Supabase nudi za zaštitu

Supabase u sopstvenom pregledu bezbjednosnih izmjena navodi ove mogućnosti:

• RLS podrazumijevano uključen za tabele napravljene u kontrolnoj tabli;
• okidači događaja koji RLS automatski uključuju za tabele iz migracija i spoljnih alata;
• potpuno isključivanje Data API-ja ili njegovo premještanje sa šeme public na drugu šemu;
• upozorenja vlasnicima projekta imejlom kad se tabela napravi bez RLS-a, i provjere alata Security Advisors koje takve tabele označavaju.