Abertura
Pesquisadores de segurança identificaram mais de 16 000 bancos de dados Supabase com configurações inadequadas que permitem acesso público a tabelas contendo informações pessoais, senhas e tokens de autenticação. A descoberta, divulgada pelo site BleepingComputer, evidencia que a falha de configuração pode expor dados sensíveis de milhares de projetos que utilizam a plataforma como backend.
Contexto
A plataforma Supabase oferece serviços de banco de dados PostgreSQL gerenciados, sendo adotada por desenvolvedores que buscam uma alternativa de código aberto ao Firebase. Em ambientes de nuvem, a definição de políticas de acesso é responsabilidade do usuário, e erros na definição de permissões podem tornar os recursos visíveis na internet. Historicamente, incidentes semelhantes já foram relatados em outros provedores de banco como serviço, mas a escala encontrada nesta pesquisa supera registros anteriores.
Impacto
Empresas, startups e projetos individuais que dependem da infraestrutura Supabase podem ter suas credenciais comprometidas, facilitando ataques de força‑bruta ou uso indevido de APIs. A exposição de tokens de autenticação permite que agentes maliciosos acessem recursos protegidos, enquanto senhas em texto plano aumentam o risco de comprometimento de contas de usuários. Embora a fonte não tenha divulgado nomes de vítimas, a quantidade de bancos afetados indica que milhares de usuários finais podem estar em risco.
Detalhes técnicos
A vulnerabilidade decorre da ausência de regras de controle de acesso nas tabelas criadas pelos desenvolvedores. Quando a opção “public” é habilitada sem restrições, o PostgreSQL aceita consultas anônimas via endpoint HTTP fornecido pela Supabase. Os pesquisadores utilizaram scanners automatizados para mapear endereços IP associados ao serviço e verificaram a presença de colunas como “email”, “password” e “api_key”. O vetor de ataque consiste em requisições GET simples que retornam o conteúdo das tabelas, sem necessidade de autenticação. Não há exploração de falhas no código da plataforma, mas sim um mau uso das configurações padrão que, por padrão, podem ser permissivas.
Encerramento
Até o momento, a equipe da Supabase não comentou publicamente sobre a descoberta, mas recomenda que os usuários revisem as políticas de acesso e desativem a exposição pública de bancos de dados. Especialistas sugerem a adoção de práticas de segurança como a definição de papéis de usuário, a criptografia de senhas e a rotação regular de tokens. A divulgação do caso serve como alerta para a comunidade de desenvolvedores que confiam em serviços gerenciados, reforçando a necessidade de auditorias de configuração contínuas. A fonte original da informação permanece o BleepingComputer.