- Yama var
- Son 7 gün
- CWE-613
CVE-2026-54238
Supabase Realtime'da süresi dolmuş JWT'ler REST yayın yetkilendirmesinde kabul ediliyor
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Supabase Realtime, WebSocket üzerinden Broadcast, Presence ve Postgres Changes özellikleri sunar. 2.103.1 sürümünden önceki sürümlerde REST broadcast uç noktaları, exp talebi JSON tamsayısı yerine JSON dizgisi olarak kodlandığında süresi dolmuş bir JWT'yi kabul etmektedir. Aynı rota, aynı kiracı sırrıyla imzalanmış ve exp değeri tamsayı olan süresi dolmuş bir belirteci reddetmektedir. Kabul edilen istek 202 yanıtı döndürür ve yayını abonelere iletir. Bu durum, kimliği doğrulanmamış bir saldırganın abonelere gerçek zamanlı mesaj yayınlamasına olanak tanıyabilir. Saldırı İnternet üzerinden ve yalnızca Supabase projesi içinden gerçekleştirilebilir. Abonelere mesaj yayınlamanın etkisi uygulamaya özgüdür. Sorun 2.103.1 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Supabase Realtime provides Broadcast, Presence, and Postgres Changes via WebSockets. Prior to version 2.103.1, the REST broadcast endpoints accept an expired JWT when the exp claim is encoded as a JSON string instead of a JSON number. The same route rejects an expired integer exp token signed with the same tenant secret. The accepted request returns 202 and emits the broadcast to subscribers. This could allow an unauthenticated attacker can broadcast realtime messages to subscribers. The attack can be performed via the Internet/only from within the supabase project. The impact of broadcasting messages to subscribers is application specific. This issue has been patched in version 2.103.1.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| supabase realtime | < 2.103.1 | 2.103.1 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.