CVE-2026-54238

NiskieCVSS 3.1

Opublikowano: 22/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 22/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Supabase Realtime przed wersją 2.103.1 akceptuje wygasły JWT w endpointach REST broadcast, gdy roszczenie exp jest zakodowane jako ciąg JSON zamiast liczby. Umożliwia to nieuwierzytelnionemu atakującemu rozgłaszanie wiadomości w czasie rzeczywistym do subskrybentów.

Ocena ryzyka

Atakujący może wysyłać fałszywe komunikaty do subskrybentów, co może zakłócić działanie aplikacji lub wprowadzić w błąd użytkowników. Skutek zależy od logiki aplikacji korzystającej z Realtime.

Rekomendacja

Zaktualizuj Supabase Realtime do wersji 2.103.1 lub nowszej. Do czasu aktualizacji ogranicz dostęp do endpointów broadcast i monitoruj nietypowe rozgłaszanie.

Inne podatności w Supabase Realtime

CVE-2026-62247Średnie
Supabase Realtime przed wersją 2.111.2 ma podatność w autoryzacji, która nie honoruje poprawnie polityki bezpieczeństwa na poziomie wierszy (RLS) presence.read dla rozszerzenia, gdy klient kanału prywatnego ma przyznane presence.write, ale jawnie odmówione presence.read. W takiej sytuacji klient może otrzymywać wiadomości presence_diff zawierające metadane obecności innych członków, w tym lokalizację, status online, listę, oglądanie lub informacje o pisaniu. Wdrożenia z jednolitą widocznością obecności nie mają tej różnicy, a dane postgres_changes nie są dotknięte. Problem naprawiono w wersji 2.111.2.

Oryginalny opis (angielski, źródło NVD)

Supabase Realtime provides Broadcast, Presence, and Postgres Changes via WebSockets. Prior to version 2.103.1, the REST broadcast endpoints accept an expired JWT when the exp claim is encoded as a JSON string instead of a JSON number. The same route rejects an expired integer exp token signed with the same tenant secret. The accepted request returns 202 and emits the broadcast to subscribers. This could allow an unauthenticated attacker can broadcast realtime messages to subscribers. The attack can be performed via the Internet/only from within the supabase project. The impact of broadcasting messages to subscribers is application specific. This issue has been patched in version 2.103.1.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS