Applications de codage de vibrations annoncées 16 Mille bases de données

Base de données 16.326. Tous ouverts à tout le monde, tous ont des tables lisibles. Selon les recherches publiées dans UpGuard le 25 septembre 2026, la société Cybersécurité a trouvé des traces de données personnelles plus de la moitié de ces bases de données travaillant sur Supabase. Le point commun des fuites est que la plupart d'entre eux ont des applications de codage d'ambiance établies rapidement avec des outils de codage d'intelligence artificielle. Les conclusions du présent article traitent des mesures qui peuvent être prises pour protéger l'origine technique et les projets du problème.

Qu'est-ce que Supabase Data a laissé tomber?

Greg Pollock, directeur de la recherche et de l'analyse UpGuard. Rapport UpGuard intitulé "Tout est partout" publié. L'équipe a d'abord utilisé les données de détection de technologie de BuildWith et Google Chrome UX Report ensemble de données. Les commutateurs Supabase et les adresses de base de données ont été recherchés dans les fichiers JavaScript qui sont ouverts à tout le monde.

Dans l'étape suivante, l'accès à une table appelée "utilisateurs" a nommé environ 300 mille domaines. Trois types de réponses ont été reçues des bases de données : l'accès refusé, pas de « table utilisateur mais le tableau est ouvert » sous la forme d'une pointe ou de données directes. Après tout, la base de données 16.326 a été détectée pour offrir des tableaux lisibles.

Une constatation qui prête attention au rapport ne modifie pas le résultat du modèle d'exploitation. Le service B2C ou B2B du site n'a pas créé de différence dans le type de données distribuées. En ce qui concerne la répartition géographique, il a été noté que les fuites sont plus fréquentes dans les zones en développement, tandis que de meilleures pratiques sont observées grâce aux lois européennes sur la protection des données.

Quelles données sont en cours?

Outre les informations personnelles telles que le nom, le courriel, la date de naissance et l'adresse dans les tables ouvertes, les dossiers PAN et Aadhaar avec passeport, licence et documents d'identité de l'Inde ont été vus. Les mots de passe, les jetons API et les codes de vérification jetables (OTP) sont inclus dans les données de fuite. On a trouvé des informations sur le côté paiement et les quatre derniers chiffres des cartes.

Dans la distribution sectorielle, le commerce électronique et les restaurants se distinguent par des systèmes de paiement avec données personnelles. En ce qui concerne le mot de passe et les informations d'identification des sites de paris non autorisés, les fournisseurs de produits industriels ont été classés comme groupes de risque en termes de données sur les clients de l'entreprise. Les cas que UpGuard partage comme exemple sont concrets de la taille du problème:

11 % des courriels divulgués dans le service Valet ont été signalés que 4,560 adresses appartiennent à des employeurs régionaux et à des entreprises de Fortune 500. Dans le cas de la consulaire, les données sont apparues dans des refuges d'urgence.

Qu'est-ce que la sécurité au niveau de la ligne et pourquoi est-ce hors circuit?

Supabase est une plateforme qui offre une base de données PostgreSQLTM open source avec une authentification prête et une couche API. L'application se connecte directement à la base de données front-face avec une clé ouverte à toute personne appelée "anon". Cette clé est normalement acceptée par la conception pour apparaître dans le navigateur. La sécurité des données est assurée par des politiques de sécurité au niveau de la ligne. Si RLS n'est pas ouvert, tous ceux qui ont l'option anon eline peuvent lire la table.

L'histoire du problème n'est pas nouvelle. Le développeur Matt Turner en mars 2025, Livrable Une erreur commune sur les bases de données créées avec la plate-forme rapportée, et le code ouvert CVE-2025-48757 a été perdu. Selon les nouvelles publiées dans Cybernews Dans Lovable, il y avait aussi une erreur distincte qui révèle le code source, les identifiants de base de données et l'historique de chat d'intelligence artificielle.

Supabase a ensuite ouvert RLS dans des tables créées avec Table Editor sur son interface. Selon UpGuard, l'espace principal reste ici : RLS par défaut sur les tables créées en tant que programmatique via l'API. Les agents de codage fonctionnent aussi exactement de cette façon avec Supabase. Il est également ajouté que le RLS est ouvert dans le rapport qu'il ne suffit pas, les politiques devraient être correctement établies et utilisées avec des références correctes.

Comment faire pousser les agents de codage Boulet?

Supabase dans le rapport UpGuard est défini comme le produit de base de données "Claude Code le plus recommandé." Des recherches antérieures ont porté sur des exemples plus petits provenant de plateformes telles que Lovable et Replit. La nouvelle étude n'est pas un seul véhicule, mais l'autorisation d'une image générale.

« Le point commun est que ces sites sont créés par des agents de codage d'intelligence artificielle et ne sont pas conscients de la configuration des personnes. " (Rapport du Conseil supérieur)

Il est nécessaire de lire correctement: le problème est que les agents sont malveillants ou le code ne fonctionne pas. L'application fonctionne, l'enregistrement des utilisateurs est reçu, le paiement est reçu. La configuration de sécurité restante que personne ne regarde. Dans le rapport, il est noté que les gens savent quel type de travail, mais comment la base de données est configurée.

Vibe Codin g L'approche permet au développement non logiciel de supprimer des produits avec quelques commandes. La même vitesse renforce également la perception de l'"échange" si elle est en cours d'exécution. Masqot déjà discuté Attaque de détournement d'agents a montré comment les agents de codage peuvent être du sang de l'extérieur. Le boîtier Supabase montre des portes que l'agent ne peut laisser ouvertes qu'à cause d'un réglage manquant sans aucune attaque.

Supabase, S3 et GitHub Coast: Est-ce que l'histoire à nouveau?

UpGuard compare Supabase avec deux plates-formes qui passent une manière similaire plus tôt. Dans le rapport, les fuites de données sont exprimées par la palpitation de la taille de la base d'utilisateurs avec la facilité de la mauvaise configuration d'une technologie. Les paramètres par défaut non sécurisés de Amazon S3 ont conduit à des milliers de fuites qui durent encore, le modèle GitHub="ouvert à tout le monde comme açık" rappelle également de nombreuses identities à divulguer.

La réponse sur la façade de Supabase a été établie sur la responsabilité conjointe. Selon les nouvelles publiées dans TechCrunch Le directeur de la sécurité de l'information (CISO) Bil Harmer a déclaré :

"La sécurité à Supabase n'est pas un temps fini. Nous nous soucions de faire cela correctement. "

Harmer a également ajouté que la sécurité est une responsabilité partagée entre les clients de l'entreprise. En tant que base utilisateur de la plateforme, qui a atteint 10 milliards de dollars en juin 2026, le risque augmente également au même rythme selon la formule d'UpGuard. Dans la clôture du rapport, S3 et GitHub sont indiqués qu'il est probable qu'il pilote ces problèmes sans changement enraciné dans les paramètres par défaut comme il l'a fait au fil du temps.

Comment sécuriser le projet de codage Vibe?

Si une application développée avec l'intelligence artificielle utilise Supabase, le premier contrôle est que RLS est ouvert dans chaque table. Selon la documentation des conseillers de Supabase La section des conseillers en sécurité du groupe d'experts énumère les RLS comme des alertes hors tables. Les tables fermées peuvent être protégées par une seule ligne de commande SQL :

alter table public.users enable row level security;

La première étape pour ouvrir RLS. Si la politique n'est pas écrite après l'ouverture, la table est complètement verrouillée, une politique écrite à l'arrivée peut encore donner à tout le monde la permission de lire. Les principaux points à noter sont les suivants:

Anon et changement de rôle de service : La clé de l'anion est considérée comme normale pour apparaître pour cent. La clé de service avec toutes les autorisations ne devrait jamais être mise dans le navigateur, l'application mobile ou un entrepôt ouvert à tout le monde.

Inspection de la sortie de l'agent : Lorsque l'on demande la création de tableaux à partir de l'agent de codage, les politiques RLS doivent également écrire, et la description de l'utilisateur qui peut lire quoi pour chaque tableau.

Stockage des données sensibles: Les mots de passe sont conservés en texte clair, et non en hachage. Les fichiers comme le document ID ne doivent pas être inclus dans les zones de stockage ouvertes.

Essai: Avant la sortie de l'application, il faut dire qu'un utilisateur qui n'a pas été connecté peut accéder aux tables avec un commutateur d'anion.

Le sujet des initiatives de la Turquie n'est pas seulement une question d'ajustement technique. Une application qui traite les données personnelles reste ouverte, intérêt direct aux obligations du responsable du traitement en vertu de la loi no 6698 sur la protection des données personnelles. Conformément à la décision du Conseil de protection des données personnelles 2019/10 les violations doivent être signalées à la Commission au plus tard 72 heures. KVKK et AI Dans l'article écrit, les entreprises ont été discutées en détail de ce qu'elles devraient faire attention dans ce processus. Sites d'écriture de code d'intelligence artificielle Ajouter rapidement un test d'accès à la base de données à la liste de contrôle pré-publiée des équipes qui rendent le produit rapide, le coût d'une éventuelle brèche reste comme une petite charge de travail.

Foire aux questions

Supabase est-elle piratée ?

Non, une attaque a été détectée dans l'infrastructure de Supabase. Les fuites sont causées par une configuration incorrecte des applications utilisant la plateforme. Les bases de données ont accès à leurs applications avec des commutateurs ouverts dans leurs fichiers JavaScript.

Qu'est-ce que la sécurité au niveau de la ligne?

RLS est le mécanisme de sécurité qui détermine qui a le pouvoir de lire et d'écrire pour chaque ligne dans PostgreSQLTM. La protection des données est largement basée sur les politiques RLS, puisqu'elle est connectée directement à la base de données pré-face de Supabase. Si RLS est fermé, tous ceux qui trouvent la clé ouverte à tout le monde peuvent lire la table.

Est-ce qu'il risque de présenter une demande avec Vibregithub?

Non, le risque est lié à la configuration non utilisée. Selon la conclusion d'UpGuard, RLS dans les tables créées via l'API est plus élevé que la possibilité de sauter cette étape dans les projets établis avec des agents de codage car il n'ouvre pas par défaut. Un projet écrit correctement dans RLS ouvert et les politiques n'est pas affecté par cela.

Comment puis-je comprendre si ma demande est touchée?

La méthode la plus rapide pour vérifier les alertes du conseiller de sécurité sur le panneau Supabase. Ensuite, sans connexion, il ne peut être testé quelles données retourneront en interrogeant les tables avec l'interrupteur d'anon. Si les données tournent, RLS devrait être ouvert et écrit dans la politique.

Que faire lorsque la base de données ouverte est remarquée?

Avant d'ouvrir RLS sur les tables correspondantes, l'accès doit être fermé, les commutateurs API non divulgués et les mots de passe doivent être renouvelés. S'il y a une fuite qui contient des données personnelles, il est nécessaire d'en informer la Commission dans les 72 heures en Turquie. Parmi les obligations d'informer les utilisateurs concernés.

Les agents de codage peuvent enlever une application de quelques heures, mais il ne demande même pas si elle verrouille les portes de l'application. S3 et GitHub ont eu des années pour changer les paramètres par défaut. Après ce rapport, les entreprises développées par Supabase et l'agent de codage, il déterminera également le nombre de nouveaux cas qui seront révélés dans les prochains mois.