Migliaia di database Supabase restano pubblici per errore
UpGuard ha trovato circa 16.000 database ospitati su Supabase con almeno una parte di dati personali esposta al web pubblico. Il quadro non è quello di una compromissione della piattaforma. È quello di configurazioni lasciate troppo aperte da chi ha costruito l’app, con dati di utenti finiti fuori controllo su larga scala.
Il meccanismo è banale e per questo pericoloso: un database gestito resta accessibile dall’esterno quando le impostazioni di accesso non vengono strette come si deve. In questo caso l’esposizione riguardava nomi, indirizzi, numeri di telefono, password e in alcuni casi auth token, cioè materiale che può trasformare un semplice errore di setup in furto di dati e riuso degli accessi.
Per chi usa app low-code o AI-generated su Supabase, la lezione è che il confine di sicurezza non coincide con il servizio gestito. L’esposizione sta nella configurazione e nei controlli applicativi, non in un breach del vendor. In pratica, il rischio ricade su ogni ambiente in cui il dato viene pubblicato senza accorgersene.
Misconfigured Supabase apps expose data in over 16,000 databases
Researchers found more than 16,000 misconfigured Supabase databases exposing readable tables with personally identifiable information, passwords, or authentication tokens.