CVE-2026-16503
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wdrożenie szablonu Supabase jednym kliknięciem z VPS.org uruchamia instancję PostgreSQL nasłuchującą na wszystkich interfejsach (0.0.0.0:5432) z domyślnym hasłem bazy danych ustawionym na „postgres”. Ponieważ Docker instaluje własne reguły iptables, to narażenie omija standardową konfigurację zapory UFW hosta.
Ocena ryzyka
Atakujący z sieci zewnętrznej może uzyskać nieautoryzowany dostęp do bazy danych PostgreSQL, co może prowadzić do wycieku danych, ich modyfikacji lub usunięcia.
Rekomendacja
Należy natychmiast zmienić domyślne hasło bazy danych, skonfigurować PostgreSQL tak, aby nasłuchiwał tylko na localhost (127.0.0.1), oraz dostosować reguły zapory sieciowej w Dockerze.
Oryginalny opis (angielski, źródło NVD)
Deployment of the VPS.org one-click Supabase template deploys a PostgreSQL instance that is published on all interfaces (0.0.0.0:5432) with a default database password set to "postgres". Because Docker installs its own iptables rules, this exposure bypasses a standard host UFW configuration.