Misconfigured Supabase apps expose data in over 16,000 databases
BleepingComputer · 28 sept, 20:50
Investigadores de UpGuard descubrieron más de 16.000 bases de datos Supabase mal configuradas que exponen tablas legibles con información de identificación personal, contraseñas y tokens de autenticación. El análisis de esquemas de tablas sugiere que una pequeña parte incluye datos de tarjetas de crédito. Los investigadores atribuyen las exposiciones a configuraciones de seguridad deficientes, incluidas políticas de seguridad a nivel de fila ausentes o ineficaces, y señalan que más del 60% de las nuevas bases de datos se crean con herramientas de desarrollo asistido por IA.
UpGuard analizó aproximadamente 300.000 dominios que mostraban signos de utilizar Supabase y comprobó la accesibilidad de tablas de datos. Los investigadores utilizaron esquemas de tablas para inferir los tipos de datos expuestos. En más de la mitad de las bases de datos expuestas, encontraron información de identificación personal, y un subconjunto más pequeño incluía contraseñas y tokens de autenticación.
Entre los hallazgos más notables figuran: un servicio de valet estadounidense que expuso más de 100.000 registros de clientes (detalles de contacto, placas de matrícula e historial de visitas); un servicio de inmigración canadiense con casi 5.000 registros de usuarios incluidos 884 contraseñas en texto plano; una plataforma de creadores de contenido con sede en India que expuso identidad sensible, cuentas de pago y más de 100.000 mensajes privados; un servicio de OTP filipino que expuso datos de más de 2.000 usuarios y 100.000 mensajes SMS; y un consulado gubernamental africano que expuso registros de 25.000 personas incluidas direcciones y ubicaciones de vivienda de emergencia. Los investigadores atribuyen estos problemas a la falta de comprensión de la configuración de bases de datos por parte de desarrolladores, especialmente aquellos que utilizan agentes de codificación IA.
Puntos clave
- Más de 16.000 bases de datos Supabase exponen PII, contraseñas y tokens de autenticación
- Más del 60% de las nuevas bases de datos Supabase se crean con desarrollo asistido por IA
- Problemas causados por políticas de seguridad a nivel de fila ausentes o mal configuradas y mal uso de claves públicas
- UpGuard notificó a propietarios de aplicaciones con exposiciones significativas
Figuras de la fuente
