یک آسیب‌پذیری امنیتی با شناسه CVE-2026-94038 در اپلیکیشن NonceGeek dim-sum-app شناسایی شده است. این نقص امنیتی در بخش Backend که با زبان Deno توسعه یافته و به‌طور مشخص در تابع textSearchV2Handler در فایل deno/main.tsx رخ داده است.
جزئیات فنی حمله
این آسیب‌پذیری از نوع Server-Side Request Forgery (SSRF) است و به مهاجم اجازه می‌دهد تا با ارسال یک درخواست شبکه بدون نیاز به احراز هویت (Unauthenticated) و بدون تعامل کاربر، پارامتر supabase_url را دستکاری کند. در این سناریو، مهاجم می‌تواند درخواست‌های خروجی سرور را به یک میزبان دلخواه هدایت نماید.
تاثیرات امنیتی و ریسک‌ها
- افشای کلیدهای حساس: خطرناک‌ترین بخش این حمله این است که هندلر مربوطه، یک کلاینت Supabase را بر اساس URL کنترل‌شده توسط مهاجم می‌سازد و کلید
SUPABASE_SERVICE_ROLE_KEYرا به عنوان اعتبارنامه (Credential) ارسال می‌کند. - دسترسی سطح بالا: با به دست آوردن این کلید، مهاجم می‌تواند دسترسی کامل مدیریتی (Full Privileged Access) به پروژه Supabase مربوطه پیدا کرده و تمامی داده‌ها یا سرویس‌های مرتبط را تحت کنترل بگیرد.
- اجرای از راه دور: این اکسپلویت (Exploit) به‌صورت عمومی منتشر شده و امکان اجرای آن به‌صورت Remote وجود دارد.
راهکار رفع آسیب‌پذیری
برای رفع این مشکل، توصیه می‌شود سریعاً پچ (Patch) با شناسه 8389032e5d52c28c4855c6126ca7d0eae8af346a را اعمال نمایید تا از دسترسی غیرمجاز به کلیدهای سرویس-رول و حملات SSRF جلوگیری شود.
