Hücumçu Təsiri
Təcavüzkar MVP yerləşdirmələrində ümumi nəzarətdən istifadə etməklə həssas istifadəçi məlumatlarına icazəsiz giriş əldə edə, verilənlər bazası qeydlərini dəyişdirə və ya infrastrukturu ələ keçirə bilər. Buraya [S4] giriş nəzarətlərinin çatışmaması səbəbindən icarədarlar arası məlumatlara daxil olmaq və ya [S2] inteqrasiya olunmuş xidmətlərindən məlumatların çıxarılması və xərcləri ödəmək üçün sızmış API açarlarından istifadə daxildir.
Kök Səbəb
MVP-ni işə salmağa tələsərkən, tərtibatçılar, xüsusən də AI tərəfindən dəstəklənən "vibe kodlaşdırmadan" istifadə edənlər - əsas təhlükəsizlik konfiqurasiyalarını tez-tez nəzərdən qaçırırlar. Bu zəifliklərin əsas səbəbləri bunlardır:
- Gizli Sızma: Verilənlər bazası sətirləri və ya AI provayder açarları kimi etimadnamələr təsadüfən [S2] versiyaya nəzarəti həyata keçirir.
- Broken Access Control: Proqramlar ciddi avtorizasiya sərhədlərini tətbiq edə bilmir, bu da istifadəçilərə [S4] başqalarına məxsus resurslara daxil olmaq imkanı verir.
- İcazə Verilən Verilənlər Bazası Siyasətləri: Supabase kimi müasir BaaS (Xidmət olaraq arxa uç) quraşdırmalarında, Sıra Səviyyəsi Təhlükəsizliyini (ZXCVFIXVIBETOKEN2 birbaşa ekspluatasiya vasitəsilə müştəri tərəfini açmaq üçün) aktivləşdirə və düzgün konfiqurasiya edə bilmir. kitabxanalar [S5].
- Zəif Token İdarəetmə: Doğrulama tokenlərinin düzgün işləməməsi sessiyanın qaçırılmasına və ya icazəsiz API girişinə [S3] gətirib çıxara bilər.
Beton Təmirləri
Sətir Səviyyəsi Təhlükəsizliyini Tətbiq edin (RLS)
Supabase, RLS kimi Postgres əsaslı arxa uçlardan istifadə edən proqramlar üçün hər cədvəldə aktivləşdirilməlidir. RLS verilənlər bazası mühərrikinin özünün giriş məhdudiyyətlərini tətbiq etməsini təmin edir və istifadəçinin [S5] etibarlı autentifikasiya nişanı olsa belə, başqa istifadəçinin məlumatlarını sorğulamasına mane olur.
Gizli Skanlamanı avtomatlaşdırın
API açarları və ya [S2] sertifikatları kimi həssas etimadnamələrin təkanını aşkar etmək və bloklamaq üçün məxfi skanlaşdırmanı inkişaf iş prosesinə inteqrasiya edin. Əgər sirr sızarsa, o, dərhal ləğv edilməli və dəyişdirilməlidir, çünki o, [S2] təhlükəsi hesab edilməlidir.
Ciddi Token Təcrübələrini tətbiq edin
[S3] təcavüzkarları tərəfindən təkrar istifadənin qarşısını almaq üçün seansın idarə edilməsi üçün təhlükəsiz, yalnız HTTP kukilərdən istifadə və tokenlərin göndərici tərəfindən məhdudlaşdırılmasını təmin etmək daxil olmaqla, token təhlükəsizliyi üçün sənaye standartlarına əməl edin.
Ümumi Veb Təhlükəsizlik Başlıqlarını Tətbiq edin
[S1] ümumi brauzer əsaslı hücumları azaltmaq üçün tətbiqin Məzmun Təhlükəsizliyi Siyasəti (CSP) və təhlükəsiz nəqliyyat protokolları kimi standart veb təhlükəsizlik tədbirlərini həyata keçirməsinə əmin olun.
FixVibe bunu necə sınaqdan keçirir
FixVibe artıq çoxsaylı canlı skan səthlərində bu məlumat sızması sinfini əhatə edir:
- Supabase RLS ifşası:
baas.supabase-rlseyni mənşəli paketlərdən ictimai Supabase URL/anon-açar cütlərini çıxarır, oxunanlar, cədvəllər və siyahılar Cədvəl məlumatlarının ifşa olub olmadığını təsdiqləmək üçün anonim SELECT yoxlayır. - Repo RLS boşluqları:
repo.supabase.missing-rlsuyğun ZXCVFIXVIBETOKEN1ZXV köçürmə olmadan yaradılmış ictimai cədvəllər üçün icazə verilmiş GitHub repozitoriya SQL miqrasiyalarını nəzərdən keçirir. - Supabase saxlama vəziyyəti:
baas.supabase-security-checklist-backfillmüştəri məlumatlarını yükləmədən və ya mutasiya etmədən ictimai Yaddaş qutusu metadatasını və anonim siyahı ifşasını nəzərdən keçirir. - Sirlər və brauzerin duruşu:
secrets.js-bundle-sweep,headers.security-headersvəheaders.cookie-attributesbayrağı müştəri tərəfi etimadnaməsini sızdırdı, brauzerin sərtləşdirilməsi başlıqları və zəif auth-kuki bayraqları. - Qapılı giriş-nəzarət zondları: müştəri aktiv skanları aktivləşdirdikdə və domen sahibliyi təsdiqləndikdə,
active.idor-walkingvəactive.tenant-isolationtesti IDOR/BOLA tipli resurslararası və icarədarlar arası məlumatların ifşası üçün marşrutları aşkar etdi.