CVE-2026-54238

Nome do Software Vulnerável e Versões Afetadas Supabase Realtime versões anteriores a 2.103.1

Description Os endpoints de broadcast REST aceitam um JSON Web Token (JWT) expirado quando a reivindicação exp é codificada como uma string JSON em vez de um número JSON. Embora o sistema rejeite tokens expirados que utilizam valores inteiros para a reivindicação exp, essa inconsistência permite que atacantes não autenticados transmitam mensagens em tempo real para os assinantes. O ataque pode ser executado via internet ou de dentro do projeto Supabase, e o impacto depende da implementação específica da aplicação.

Recommendations Atualizar para a versão 2.103.1.