CVE-2026-62247
Açıklama
Supabase Realtime; Broadcast, Presence ve Postgres Changes özelliklerini WebSockets üzerinden sunmaktadır. 2.111.2 sürümünden önce Realtime yetkilendirmesi, özel kanal istemcisinin presence.write iznine sahip olduğu ancak presence.read izninin açıkça reddedildiği durumlarda, eklenti başına tanımlanan presence.read satır düzeyinde güvenlik politikasını doğru şekilde uygulamamaktadır. Bu farklı politika altında istemci; uygulama tarafından tanımlanan konum, çevrimiçi durumu, liste, görüntüleme veya yazıyor bilgileri dahil olmak üzere diğer üyelerin varlık meta verilerini içeren presence_diff mesajlarını alabilmektedir. Tek tip varlık görünürlüğüne sahip dağıtımlarda herhangi bir fark bulunmamakta ve postgres_changes satır verileri etkilenmemektedir. Bu sorun 2.111.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| supabase realtime | < 2.111.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.