תחומים - פורום חרדי מקצועי

בהמשך לאשכול שפורסם כאן אתמול...
בחודשים האחרונים יצא לי לבדוק עשרות אתרים שנבנו בפלטפורמות vibe coding כמו base44 וlovable ומסתבר שבחלק גדול מהם טבלאות מסד הנתונים פתוחות לחלוטין לקריאה ציבורית ללא כל הגנה. המשמעות היא שכל מי שיודע לשלוח בקשת API יכול לשלוף שמות/כתובות מייל/מספרי טלפון וכל מידע אחר שנשמר בטבלאות ללא הרשאה.

הפלטפורמות האלה מאפשרות לבנות אתרים יפים במהירות אבל הגדרות אבטחה כמו RLS לא מופעלות כברירת מחדל או שהמשתמשים פשוט לא מודעים לקיומן או לא מקנפגים אותן נכון.

כדי להקל עליי את עבודת הסריקה ביקשתי מקלוד שיכתוב לי סקריפטים, מצרף אותם כאן:
https://github.com/shraga100/vibe-table-audit

1. סקריפט מותאם לאתרי base44 (להרצה מהקונסול של הדפדפן)
2. סקריפט להרצה עם tampermonkey שמותאם לאתרי lovable (ואולי גם לאתרים אחרים שמשתמשים בsuperbase)

אמנם יש כאן סיכון משמעותי לשימוש לרעה. אבל לענ"ד הפוטנציאל החיובי גדול יותר.

מי שמפעיל אתר חי עם נתוני משתמשים אמיתיים מומלץ מאוד להקדיש כמה דקות ולוודא שההגדרות הרשאות ישויות ובקרת גישה תקינות.

האחריות על המידע של המשתמשים היא שלכם!!!

נתקלתם באתר שהטבלאות שלו פתוחות לכל דכפין? יידעו את בעל האתר.

מה תכלס תיאוריית הקונספירציה שאתה מציע פה?

שגוגל קנו את עיריית ירושלים? או שג'מיני עובד בערבים בזהות בדויה בתור פקיד ברשות המיסים?

@רוצה-להיות כתב באתר חדש להתראות צבע אדום עם התרעות מקדימות וסינון לפי ערים:

אין לי מושג באיזה מנוע סינון אני, איך יודעים?

איך בודקים אם אתם בגרסה החדשה
כנסו לכתובת: https://api.internal.netfree.link/isnew

אם מופיע 1 — אתם מחוברים לגרסה החדשה.
אם מופיע error — אתם מחוברים לגרסה הישנה.

@רוצה-להיות החדשה עובדת ל15 שניות? היינו מתקבלים נתונים?
בכל מקרה, לא חושב שזה משהו שבשליטתי.

אשמח שמי שנתקל בבעיה ינסה לבדוק מול נטפרי אם יש מה לעשות גם כשנמצאים בסינון ה"ישן" (חוץ מלהגר לחדש), אולי ניתן לשנות איזו הגדרה אצלם שתגרום לזה לעבוד גם בישן.

@dovid מאמין שזה קשור לנטפרי איכשהו, אולי הבדל בין מנוע הסינון החדש לישן, אתה בחדש?

@רוצה-להיות כתב באתר חדש להתראות צבע אדום עם התרעות מקדימות וסינון לפי ערים:

נראה ממש טוב.
נשאר לי תקוע על מתחבר.
אני בסינון נטפרי.
בדקתי בקונסול ואין שגיאות.
ניסיתי להשבית תוספים שאולי מפריעים ולא עזר.

תבדוק בnetwork מה נותן נקודת הקצה הזו https://redalertil.live/events

@גמליאל סביר שזה מקורות עם גישה למערכות מידע לא אזרחיות. או סתם שיטת מצליח (אם כי הם אמינים ברמה מסוימת ולגבי הרבה שיגורים הם מתריעים לפני פיקוד העורף)

@משה-פרוכטר כתב באתר חדש להתראות צבע אדום עם התרעות מקדימות וסינון לפי ערים:

@shraga
נטפרי

תבדוק מולם.

@חוקר יש כאן גם עניין של עלות הapi, אם כי מסתבר שזניח. וגם עיכוב של כמה שניות נוספות בגלל ה'עיבוד' הזה.
ובלי קשר, מתלבט אם זה שווה את המאמץ.

@י.פל. זה לא מנגנון האימוג'י הרגיל אלא הצבעה. וכשיגיעו הודעות חדשות זה גם יעלם...

@nigun כתב באתר חדש להתראות צבע אדום עם התרעות מקדימות וסינון לפי ערים:

@shraga כתב באתר חדש להתראות צבע אדום עם התרעות מקדימות וסינון לפי ערים:

התרעות מקדימות (לא רשמיות)

מה העניין לשלב מספר ערוצים של התרעות מקדימות?
נראה שחלק פשוט מעתיקים אחד מהשני

לאחר בדיקה ומעקב אחרי לא מעט ערוצים הוספתי את הנוכחיים (אחרי סינון של כאלו שבאמת רק העתק הדבק) כי אין אחד מהם שמקדים את האחרים באופן גורף. אז הם גם משלימים אחד את השני. הכפילות אכן לא נוחה אבל לעת עתה לא מצאתי פתרון קל ואמין ליישום.

מישהו ניסה את https://www.ivrit.ai/ ביחס למודלים האחרים שהוזכרו כאן? האם יש להם ערך מוסף משמעותי אם בכלל?

@משה-פרוכטר סינון?

@חוקר תודה!

ראה כאן בעניין
https://tchumim.com/post/170248

@מד 403 זה תקין במקרה הזה אם ניגשים לקישורבאופן ישיר אבל זה באמת לא יכול לספק אינדיקציה ברורה.
עדיין לא מחובר? אם כן תבדוק בחלון גלישה בסתר אם שם זה תקין.
ואם אתה יודע לפתוח את הקונסול (F12), תנסה לבדוק אם יש שגיאות כלשהן או אם יש בnetwork משאב שנותן שגיאה.

@מד לא. ריענון של הדף גם לא עוזר?
מה מופיע אצלך בכניסה לקישור הזה? https://redalertil.live/events

@מד אצלי תקין. בדרך כלל "מנותק" זה בעיית רשת/סינון.

@יעקב2 הבעיה שנתקלתי בה היא לא זה שהצליל לא שונה אלא שאי אפשר לנטרל את ההתרעה המקדימה ולהפעיל רק את הזמן אמת ואת הודעת היציאה