Des bases Supabase accessibles sans identifiant

OOndine

UpGuard affirme avoir pu consulter sans identifiant des tables dans 16 326 bases de données Supabase, après avoir recensé environ 300 000 domaines liés au service, selon Clubic. Plus de la moitié des bases accessibles contenaient des données personnelles ; certaines exposaient aussi des mots de passe ou des jetons d’authentification. UpGuard indique que les applications concernées avaient été créées par des agents de programmation fondés sur l’intelligence artificielle, sans que leurs créateurs aient nécessairement conscience de leur configuration. L’ampleur du phénomène s’explique aussi par la place de ces outils : d’après Clubic, plus de 60 % des nouvelles bases Supabase seraient créées avec l’aide de l’intelligence artificielle, et Claude Code recommande ce service. Les chercheurs relient les expositions à des réglages insuffisants de la sécurité au niveau des lignes, une protection de PostgreSQL qui limite l’accès aux données d’une table. Supabase active cette protection par défaut lorsque les tables sont créées dans son éditeur graphique, mais pas lorsqu’elles sont créées par programmation au moyen de l’interface de programmation. Le risque dépend donc de la manière dont la table est créée et de l’activation de cette protection : les bases concernées peuvent laisser leurs données consultables sans identifiant si les réglages de sécurité sont insuffisants.