Genomsökningen
Säkerhetsföretaget UpGuard publicerade på fredagen en undersökning där det sökte igenom omkring 300 000 domäner med tecken på Supabase, hämtade från BuiltWiths teknografiska data och Chrome UX Report-dataset i BigQuery, och frågade varje domän efter en users-tabell.
Det hittade 16 326 databaser där åtminstone vissa tabeller kunde läsas av vem som helst. Mer än hälften visade indikationer på personuppgifter. Ett mindre antal visade lösenord eller autentiseringstoken, och ett mycket litet antal något som såg ut som kortuppgifter.
Vad som fanns i dem
Exemplen är konkreta. En indisk plattform exponerade 65 467 användare med namn, e-post, födelsedatum, körkorts-, pass- och Aadhaar-uppgifter samt finansiell information. En tjänst för engångskoder i Filippinerna exponerade mer än 2 000 användare och över 100 000 sms, inklusive koderna själva. En amerikansk parkeringsservice exponerade fler än 100 000 kunder med telefonnummer, e-post och registreringsnummer.
Ett afrikanskt lands konsulat exponerade 25 000 poster med adresser till sårbara grupper. En kanadensisk immigrations- och flyttjänst exponerade 5 000 poster, 884 av dem med lösenord i klartext. UpGuard hittade också infrastruktur kopplad till en virtuell sim-farm som användes för att fånga upp de engångskoder som verifierar konton på nätet — utbudssidan av kontokapningsbedrägerier, liggande öppen.
De flesta exponerade dataseten tycks finnas i USA, men UpGuard beskriver problemet som världsomspännande och noterar att regioner med starkare dataskyddspraxis gav bättre resultat.
Standarden som inte är en standard
Mekanismen UpGuard pekar ut är smal och specifik. “Tabeller som skapas programmatiskt genom API:et, vilket är hur kodningsagenter interagerar med Supabase, aktiverar inte RLS som standard”, skriver företaget. Säkerhet per rad är kontrollen som avgör vilka rader en viss anropare får läsa; utan den är en tabell som nås från det öppna internet läsbar.
Det spelar roll på grund av vem som skapar tabellerna. Supabase nådde en värdering på 10 miljarder dollar tidigare i år på utvecklare som driftar vibe-kodade applikationer, noterar TechCrunch. Den som styr en kodningsagent är inte nödvändigtvis någon som vet vad säkerhet per rad är, än mindre att vägen agenten tog hoppade över den.
Supabases svar
Supabases informationssäkerhetschef Bil Harmer sade till TechCrunch att bolaget inte sett undersökningen och att dess projekt är “säkra som standard”. Han beskrev säkerhet som ett delat ansvar: “Vi tillhandahåller säkra standardval och verktyg, och kunderna styr hur deras egna projekt konfigureras”, och sade att bolaget underrättar berörda kunder när problem upptäcks.
“Säkerheten på Supabase blir aldrig färdig. Vi bryr oss djupt om att få det rätt och vi kommer att fortsätta göra det enklare för varje utvecklare att leverera säkert”, sade Harmer.
Båda utsagorna kan vara sanna samtidigt, och där ligger obehaget. Vägen genom kontrollpanelen kan mycket väl vara säker som standard medan API-vägen inte är det, och API-vägen är den agenterna använder.
Vad som skulle stänga hålet
Åtgärden är inte något mysterium: slå på säkerhet per rad för tabeller skapade via API:et, eller vägra servera dem offentligt tills en policy finns. Det är ett plattformsbeslut snarare än ett kundbeslut, och det är beslutet som är värt att bevaka. Tills det fattas är siffran ett golv och inte ett tak — UpGuard letade efter ett tabellnamn, på domäner det kunde identifiera, vid ett tillfälle.
