Vuln Watch 利用製品に関係する脆弱性
← 一覧

CVE-2026-62247

Matched（該当） 説明文のみで一致 公開 2026-09-22 04:04 ・ 更新 2026-09-23 00:40

判定

現在の判定
Matched（該当）
攻撃条件
満たさない（AV・PR・UI がすべて N か）
攻撃能力
満たさない（RCE・認証回避・シェル取得・root 取得のいずれか）
根拠
AV:N / PR:L / UI:N（CNA・CVSS 3.1） ／ 該当する攻撃能力なし

解説

概要
Realtime の認可処理が、presence.read の行レベルセキュリティポリシーを正しく適用しない脆弱性です。
影響
presence.write は許可されている一方、presence.read を拒否されたクライアントが、他のメンバーの presence メタデータを受信する可能性があります。Postgres Changes の行データには影響しません。
対象
Supabase Realtime 2.111.2 未満。
対策
バージョン 2.111.2 に修正されています。
判定
AV:N / PR:L / UI:N（CNA・CVSS 3.1） ／ 該当する攻撃能力なし
出典

CVSS 評価

出所版AV / PR / UIベクトル出所側の更新日時
CNA（採用） 3.1 AV:N / PR:L / UI:N CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N 2026-09-22 04:04

攻撃能力（AI 判定）

RCE 非該当
認証回避 非該当
シェル取得 非該当
root 取得 非該当

根拠

  • RCE ・ CNA の説明文
    the client can receive presence_diff messages containing other members' presence metadata, including application-defined location, online-status, roster, viewing, or typing information.
  • RCE ・ CNA の CVSS 評価
    CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
  • 認証回避 ・ CNA の説明文
    when a private-channel client is allowed presence.write but explicitly denied presence.read.
  • シェル取得 ・ CNA の説明文
    the client can receive presence_diff messages containing other members' presence metadata
  • シェル取得 ・ CNA の CVSS 評価
    CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
  • root 取得 ・ CNA の CVSS 評価
    CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

モデル gpt-6-luna ・ プロンプト 2026-10-10 ・ 2026-10-13 05:55 ・ 入力 SHA-256 21fae1a7fd33

一致した監視対象製品

  • PostgreSQL — 説明文で一致 （AI の判定: 影響を受けるか 非該当）

    Supabase Realtime provides Broadcast, Presence, and Postgres Changes via WebSockets. Prior to 2.111.2, Realtime authorization does not correctly honor the per-extension presence.read row-level security policy when a private-channel client is allowed presence.write but explicitly denied presence.read. Under that differential policy, the client can receive presence_diff messages containing other members' presence metadata, including application-defined location, online-status, roster, viewing, or typing information. Deployments with uniform presence visibility have no differential, and postgres_changes row data is unaffected. This issue is fixed in version 2.111.2.

変更履歴

  1. 2026-09-23 00:40
    • Matched（該当） と判定した
    → Matched（該当）