UpGuard fant 16 326 Supabase-databaser med tabeller hvem som helst kunne lese

Sikkerhetsselskapet UpGuard fant rundt 300 000 domener med tegn på Supabase-bruk og spurte hver database etter en users-tabell, skriver UpGuard i en ny rapport som TechCrunch omtalte 25. september. 16 326 databaser svarte med lesbare tabeller. Over halvparten hadde tegn på personopplysninger, og en mindre andel inneholdt passord eller autentiseringstokener.

Hullet er kjent fra Lovable-saken i mars 2025 (CVE-2025-48757). Supabase har siden gjort Row Level Security (RLS) til standard for tabeller laget i Table Editor. Tabeller laget programmatisk via API-et, som er slik kodeagenter jobber, får derimot ikke RLS automatisk, ifølge UpGuard. Rapporten kaller Supabase den databasen Claude Code anbefaler oftest, og kobler veksten direkte til vibe-koding.

Eksemplene er konkrete. En parkeringstjeneste i USA lå åpen med over 100 000 kunder og rundt 78 000 bilskilt. En database for et afrikansk lands konsulat i Frankrike hadde 25 000 brukere med adresser, og en flyttetjeneste for folk som skulle til Canada lagret 884 passord i klartekst.

«Vi leverer sikre standardinnstillinger og verktøy, og kundene styrer hvordan deres egne prosjekter er konfigurert» — Bil Harmer, sikkerhetssjef i Supabase, til TechCrunch

Hva bør du gjøre?

1. Kjør alter table enable row level security; på alle tabeller i public-skjemaet, og legg kravet inn i instruksjonene til kodeagenten så det havner i hver migrasjon.
2. Ikke regn anon-nøkkelen i klientkoden som en hemmelighet: alle som åpner nettsiden kan lese den, så det er bare RLS-policyene som beskytter dataene.
3. Test selv med anon-nøkkelen mot REST-endepunktet til prosjektet ditt, for eksempel /rest/v1/users, og sjekk at du ikke får rader tilbake.