Vibe Coding Applications kündigt 16 Tausend Datenbanken an

16.326 Datenbank. Alle offen für alle, alle haben lesbare Tabellen. Laut einer Studie, die am 25. September 2026 in UpGuard veröffentlicht wurde, hat das Cybersecurity-Unternehmen über die Hälfte dieser Datenbanken, die auf Supabase arbeiten, persönliche Datenspuren gefunden. Der gemeinsame Punkt von Lecks ist, dass die meisten von ihnen schnell etablierte Vibe-Codierungsanwendungen mit Kodierungstools für künstliche Intelligenz haben. Die Ergebnisse des Berichts in diesem Artikel behandeln die Schritte, die unternommen werden können, um den technischen Ursprung und die Projekte des Problems zu schützen.

Was sind Supabase-Daten durchgesickert?

Research unterzeichnete Greg Pollock, Director of UpGuard’s Research and Insight UpGuards Bericht mit dem Titel "Everything Everywhere" veröffentlicht. Das Team verwendete zunächst die Technologieerkennungsdaten des Datensatzes BuiltWith und Google Chrome UX Report. Supabase-Switches und Datenbankadressen wurden in JavaScript-Dateien gesucht, die für alle offen sind.

Im nächsten Schritt nannte der Zugriff auf eine Tabelle namens "Benutzer" etwa 300 Tausend Domains. Drei Arten von Antworten wurden von Datenbanken erhalten: Zugang verweigert, keine "Benutzertabelle, aber die Tabelle ist offen" in Form eines Tipp oder direkte Daten. Schließlich wurde die Datenbank 16.326 als lesbare Tabellen erkannt.

Ein Befund, der auf den Bericht achtet, ändert das Ergebnis des Betriebsmodells nicht. Der B2C- oder B2B-Service der Website hat keinen Unterschied in der Art der verteilten Daten geschaffen. In der geografischen Verteilung wurde festgestellt, dass die Lecks in Entwicklungsgebieten häufiger vorkommen, während dank der Datenschutzgesetze Europas bessere Praktiken gesehen werden.

Welche Daten sind auf?

Neben persönlichen Informationen wie Name, E-Mail, Geburtsdatum und Adresse in offenen Tabellen wurden PAN- und Aadhaar-Datensätze mit Reisepass, Lizenz und Ausweisdokumenten aus Indien gesehen. Passwörter, API-Token und Einweg-Verifizierungscodes (OTP) gehören zu den undichten Daten. Streifeninformationen auf der Zahlungsseite und die letzten vier Ziffern der Karten wurden gefunden.

Im sektoralen Vertrieb heben sich E-Commerce und Restaurants durch Zahlungssysteme mit persönlichen Daten ab. In Bezug auf nicht lizenzierte Wettseiten Passwort und Identifikationsinformationen wurden Anbieter von Industrieprodukten in Bezug auf Unternehmenskundendaten als Risikogruppen eingestuft. Die Fälle, die UpGuard als Beispiel teilt, werden die Größe des Problems konkretisiert:

11% der E-Mails, die im Valet-Service durchgesickert sind, wurden berichtet, dass 4.560 Adressen regionalen Arbeitgebern und Fortune-500-Unternehmen gehören. Im Falle der Konsularität erschienen die Daten in Notunterkünften.

Was ist Row Level Security und warum ist es Out Circuit?

Supabase ist eine Plattform, die eine Open-Source-PostgreSQL-Datenbank mit bereitem Authentifizierungs- und API-Layer bietet. Die anwendung verbindet sich direkt mit der front-face-datenbank mit einem offenen schlüssel für jeden namens anon. Dieser Schlüssel wird normalerweise vom Design akzeptiert, um im Browser zu erscheinen. Die Sicherheit der Daten wird mit Row Level Security (RLS) bereitgestellt, dh Sicherheitsrichtlinien auf Linienebene. Wenn RLS nicht geöffnet ist, kann jeder, der anon switch eline hat, die Tabelle lesen.

Die Geschichte des Problems ist nicht neu. Entwickler Matt Turner im März 2025, versenkbar Eine häufige Fehlkonfiguration in Datenbanken, die mit der Plattform erstellt wurden, wurde gemeldet, und der offene CVE-2025-48757-Code ging verloren. Laut den in Cybernews veröffentlichten Nachrichten In Lovable gab es auch einen separaten Fehler, der den Quellcode, die Datenbankanmeldeinformationen und den Chatverlauf der künstlichen Intelligenz anzeigt.

Supabase öffnete dann RLS in Tabellen, die mit dem Tabelleneditor auf seiner Benutzeroberfläche erstellt wurden. Der Hauptraum bleibt laut UpGuard hier: RLS Default auf Tabellen, die als Programm über die API erstellt werden. Coding Agents arbeiten auch genau so mit Supabase. Es wird auch hinzugefügt, dass RLS in dem Bericht offen ist, dass es nicht genug allein ist, Richtlinien sollten richtig eingerichtet und mit korrekten Anmeldeinformationen verwendet werden.

Wie wachsen Coding Agents Bulet?

Supabase im UpGuard-Bericht ist definiert als Datenbankprodukt "Claude" Code am meisten empfohlen. Frühere Forschung konzentrierte sich auf kleinere Beispiele von Plattformen wie Lovable und Replit. Die neue Studie ist kein einzelnes Fahrzeug, sondern die Erlaubnis eines allgemeinen Bildes.

"Der gemeinsame Punkt ist, dass diese Seiten von Kodierungsagenten für künstliche Intelligenz erstellt werden und sich der Konfiguration von Personen nicht bewusst sind." „ (UpGuard-Bericht)

Es ist notwendig, richtig zu lesen: Das Problem ist, dass die Agenten bösartig sind oder der Code nicht funktioniert. Die App funktioniert, die Benutzerregistrierung wird empfangen, die Zahlung wird empfangen. Die verbleibende Sicherheitskonfiguration, die niemand sieht. In dem Bericht wird darauf hingewiesen, dass die Leute wissen, welche Art von Arbeit, aber wie die Datenbank konfiguriert ist.

Vibe Codin g Der Ansatz ermöglicht die Entwicklung von Nicht-Software, um Produkte mit wenigen Befehlen zu entfernen. Die gleiche Geschwindigkeit stärkt auch die Wahrnehmung von "ausgetauscht", wenn es läuft. Masqot zuvor diskutiert Agentjacking-Angriff Es zeigte sich, wie Kodiermittel Blut von außen sein können. Supabase-Gehäuse zeigt Türen, die der Agent nur wegen einer fehlenden Einstellung ohne Angriff offen lassen kann.

Supabase, S3 und GitHub Coast: Hat Geschichte wieder?

UpGuard vergleicht Supabase mit zwei Plattformen, die einen ähnlichen Weg früher passieren. Im Bericht werden Datenlecks durch das Abtasten der Benutzerbasisgröße mit der Leichtigkeit der Fehlkonfiguration einer Technologie ausgedrückt. Die ungesicherten Standardeinstellungen in Amazon S3 führten zu Tausenden von Lecks, die immer noch andauern, das GitHub-Modell "offen für alle als açık" erinnert auch an zahlreiche Anmeldeinformationen.

Die Antwort an der Fassade von Supabase wurde auf gemeinsame Verantwortung gegründet. Laut den in TechCrunch veröffentlichten Nachrichten Der Informationssicherheitsdirektor des Unternehmens (CISO) Bil Harmer sagte:

"Sicherheit bei Supabase ist keine Zeit fertig Arbeit." Wir kümmern uns darum, das richtig zu machen.

Harmer fügte hinzu, dass Sicherheit eine gemeinsame Verantwortung der Kunden mit dem Unternehmen ist. Als Nutzerbasis der Plattform, die im Juni 2026 10 Milliarden Dollar erreichte, wächst das Risiko nach der Formel von UpGuard ebenfalls mit der gleichen Rate. Beim Schließen des Berichts werden S3 und GitHub darauf hingewiesen, dass diese Probleme wahrscheinlich ohne eine verwurzelte Änderung der Standardeinstellungen wie im Laufe der Zeit ausgelöst werden.

Wie sichert man das Vibe Coding Projekt?

Wenn eine mit künstlicher Intelligenz entwickelte Anwendung Supabase verwendet, ist das erste Steuerelement, dass RLS in jeder Tabelle geöffnet ist. Laut Supabase's Advisors Dokumentation Der Abschnitt Sicherheitsberater im Panel listet RLS als Warnungen von Tabellen auf. Geschlossene Tabellen können durch einen einzelnen SQL-Befehl geschützt werden:

alter table public.users enable row level security;

Der erste Schritt, um RLS zu öffnen. Wenn die Richtlinie nach dem Öffnen nicht geschrieben wird, ist der Tisch vollständig verschlossen, eine Richtlinie, die an die Ankunft geschrieben wurde, kann immer noch jedem die Erlaubnis zum Lesen geben. Die wichtigsten Punkte zu beachten sind:

Anon und Service Rollenwechsel: Der Schlüssel zum Anion wird als normal angesehen, um Prozent zu erscheinen. Der Service-Rolleschlüssel mit allen Berechtigungen sollte niemals in den Browser, die mobile App oder ein offenes Lagerhaus für alle gestellt werden.

Inspektion der Agentenausgabe: Wenn die Erstellung von Tabellen aus dem Codierungsagenten angefordert wird, sollten auch die RLS-Richtlinien geschrieben werden und die Beschreibung, welcher Benutzer für jede Tabelle lesen kann.

Speicherung sensibler Daten: Passwörter werden im Klartext gehalten, nicht als Hash. Dateien wie ID-Dokument sollten nicht in offenen Speicherbereichen enthalten sein.

Prüfung: Bevor die Anwendung freigegeben wird, sollte gesagt werden, dass ein Benutzer, der nicht angemeldet wurde, mit Anionenschalter auf die Tabellen zugreifen kann.

Das Thema für Initiativen aus der Türkei ist nicht nur eine Frage der technischen Anpassung. Eine Anwendung, die personenbezogene Daten verarbeitet, bleibt offen, direktes Interesse an den Verpflichtungen des Datenverantwortlichen nach dem Gesetz zum Schutz personenbezogener Daten Nr. 6698. Gemäß der Entscheidung des Datenschutzausschusses 2019/10 Verstöße müssen im Board spätestens 72 Stunden gemeldet werden. KVKK und AI In dem schriftlichen Artikel wurden Unternehmen ausführlich darüber diskutiert, worauf sie in diesem Prozess achten sollten. Künstliche Intelligenz Code schreiben Websites Home Durch das schnelle Hinzufügen eines Datenbankzugriffstests zur Kontrollliste der Teams, die das Produkt schnell erstellen, bleiben die Kosten eines möglichen Verstoßes als kleine Arbeitslast erhalten.

Häufig gestellte Fragen

Ist Supabase selbst gehackt?

Nein, ein Angriff wurde in der Supabase-Infrastruktur erkannt. Lecks werden durch falsche Konfiguration von Anwendungen über die Plattform verursacht. Datenbanken haben Zugriff auf ihre Apps mit offenen Switches in ihren JavaScript-Dateien.

Was ist Row Level Security (RLS)?

RLS ist der Sicherheitsmechanismus, der bestimmt, wer für jede Zeile in PostgreSQL lesen und schreiben darf. Der Datenschutz basiert weitgehend auf RLS-Richtlinien, da er direkt mit der Pre-Face-Datenbank in Supabase verbunden ist. Wenn RLS geschlossen ist, kann jeder, der den offenen Schlüssel für jeden findet, die Tabelle lesen.

Besteht die Gefahr einer Anwendung mit Vibegithub?

Nein, das Risiko hängt mit der nicht verwendeten Konfiguration zusammen. Laut dem Ergebnis von UpGuard ist RLS in Tabellen, die über die API erstellt wurden, höher als die Möglichkeit, diesen Schritt in den mit Codierungsagenten eingerichteten Projekten zu überspringen, da es nicht standardmäßig geöffnet wird. Ein Projekt, das korrekt in RLS open und policies geschrieben wurde, ist davon nicht betroffen.

Wie verstehe ich, ob meine Bewerbung betroffen ist?

Die schnellste Methode, um Sicherheitsberater-Benachrichtigungen im Supabase-Panel zu überprüfen. Ohne Login kann dann nur getestet werden, welche Daten zurückgegeben werden, indem Tabellen mit Anon Switch abgefragt werden. Wenn sich die Daten drehen, sollte RLS geöffnet und in die Richtlinie geschrieben werden.

Was tun, wenn die offene Datenbank bemerkt wird?

Vor dem Öffnen von RLS in entsprechenden Tabellen sollte der Zugriff geschlossen, API-Switches und Passwörter erneuert werden. Wenn es ein Leck gibt, das persönliche Daten enthält, ist es notwendig, den Vorstand innerhalb von 72 Stunden in der Türkei zu benachrichtigen. Unter den Informationspflichten der betroffenen Nutzer.

Codierungsagenten können eine Anwendung aus wenigen Stunden entfernen, fragen jedoch nicht einmal, ob sie die Türen der Anwendung verriegelt. S3 und GitHub hatten Jahre, um die Standardeinstellungen zu ändern. Nach diesem Bericht, Unternehmen von Supabase und Coding Agent entwickelt, wird es auch die Anzahl der neuen Fälle bestimmen, die in den kommenden Monaten enthüllt werden.