Комментарии 16
Вы забыли указать, что это перевод чужой статьи. И забыли дать ссылку на оригинал.
А вы забыли взять "забыли" в кавычки ;)
вот так делается: @moderator
как одним постом сформировать к себе отношение
Что-то вся соль раскрыта как-то сумбурно:
у вас нет прав
но вы можете создать нового пользователя. чё?
создать нового пользователя не получится
созданный пользователь получит привилегии.
статья не про хакера, статья про переводчика который прикидывается хакером!
У нас был сервер с базой, доступ на запись никому не давали, только readonly role. Потом выяснилось, что кто-то расширил права этой роли почти до dba.. только объекты в дереве скрыты
Там не написано, что нельзя создать нового пользователя, написано, что нельзя зарегистрировать его через сайт (firebase?). В оригинале статьи так же написано, т.ч. это не кривой перевод.
Могу предположить, что уязвимость была как раз в реализации мультитенанси. И с учётной для одной компании можно было получить доступ к чужим данным. И очень может быть, что учётку можно получить через покупку сервиса у Chattr.ai
Кто-нибудь знающий, поясните, зачем на frontend'е вообще нужны ключи к базе? Разве frontend не должен связываться с backend'ом, чтобы уже тот, проверив все права доступа, связался с базой данных? Просто статья выглядит как "разработчики ошиблись и положили private key от TLS-сертификата, которым nginx или Apache пользуется для установления HTTPS-подключения, в папку со скриптами и прочим CSS".
Кто-нибудь знающий, поясните, зачем на frontend'е вообще нужны ключи к базе? Разве frontend не должен связываться с backend'ом, чтобы уже тот, проверив все права доступа, связался с базой данных?
Полагаю что инновационный AI стартап буквально воспринял слово serverless .
И не просто положили в папку, но и аккуратно сделали ссылку на этот файл.
В принципе, можно сделать нормальный serverless с "бэкэндом" в firebase, особенно, если это порт приложения на web. Но осторожно. В сабже это сделали неосторожно.
А зачем ходить через бекенд, когда можно напрямую? :-) Firebase - это тоже, кхм, бекенд.
Если взять из JS-бандла данные для подключения к Firebase
созданию нового пользователя ... получить полные привилегии (чтение/запись)
Нормально у них там права настроены!
Как я за один заход хакнул половину американских сетей фастфуда