Am scanat 100 de proiecte Supabase. 22% divulgă datele utilizatorilor anonim

Dezvoltatori, iubiți Supabase la fel de mult ca marketerii? Se pare că mulți îl iubesc atât de mult încât uită să încuie ușa. Un curajos a scanat 100 de proiecte aleatorii Supabase și a descoperit că 22% dintre ele permit citirea anonimă a datelor utilizatorilor. E ca și cum ai lăsa cheile de la apartament sub preș — doar că preșul e virtual, iar apartamentul e baza de date.

Cercetătorul (să-i zicem Hackerul Alb fără pelerină) n-a folosit superputeri. A luat doar endpoint-urile publice Supabase și a verificat dacă politicile RLS (Row Level Security) sunt configurate. Surpriză: la 22 de proiecte RLS lipsea sau era configurat „de mântuială”. Drept urmare, oricine cunoștea URL-ul proiectului putea accesa date — de la emailuri până la parole în clar. Și nu erau nisipuri părăsite: printre ele se numărau aplicații reale cu utilizatori reali.

De ce se întâmplă asta? Motivele sunt vechi de când lumea: nepăsare, termene limită, speranța că „merge și așa” și, desigur, magia „e BaaS, se protejează singur”. Supabase oferă API-uri comode din cutie, dar securitatea e responsabilitatea dezvoltatorului. Dacă credeți că proiectul vostru e prea mic pentru un atac — amintiți-vă că scripturile cutreieră netul și nu întreabă de dimensiune.

Cum se repară? În primul rând, activați RLS pentru toate tabelele. În al doilea rând, folosiți roluri de serviciu doar pe server. În al treilea rând, nu stocați secrete în codul client. Și da, faceți un audit — mai bine acum decât după o scurgere.

Comentariul echipei METABYTE: Am spus-o mereu: „Încrede-te, dar verifică”. Supabase e o sculă excelentă, dar chiar și cel mai tare briceag elvețian te poate tăia la deget dacă nu știi pe ce parte să-l apuci. Vreți ca proiectul vostru să fie nu doar rapid, ci și sigur? Comandați un audit la noi — găsim găurile pe care nici nu le bănuiați.