Fehlende Row-Level-Security-Richtlinien bei Supabase-basierten Anwendungen

Beschreibung

Diese CVE beschreibt laut einem manuell erfassten Community-Bericht (Reddit r/Information_Security) das Muster fehlender Row-Level-Security-(RLS)-Richtlinien bei Anwendungen mit Supabase-Backend: Ohne definierte Policies sind Datenbanktabellen für jeden lesbar, der den öffentlichen Anon-Key besitzt. Der Bericht verweist auf eine Untersuchung von Red Access, die über 380000 öffentliche Assets auf Plattformen wie Lovable, Replit, Base44 und Netlify scannte; rund 40 Prozent exponierten demnach sensible Daten, Tausende hatten gar keine Authentifizierung. Eine separate Veracode-Studie fand laut Bericht in 45 Prozent KI-generierten Codes mindestens eine OWASP-Top-10-Schwachstelle. Ein CVSS-Wert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: RLS-Policies der Supabase-Tabellen prüfen und für alle Tabellen definieren.

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage