Firebase-Datenbank anonym lesbar
Prüfregel · RSC-SEC-017
- Sicherheit
- Schweregrad: Kritisch
- CWE-284
- OWASP A01-2021
Fragt den Realtime-Database-Endpunkt mit `shallow=true` ab: antwortet er mit Schlüsselnamen statt „permission denied“, ist die Datenbank offen.
Prüfstufe
- Außen-Scan (anonym)
So behebt ihr es
Security Rules auf `auth != null` und feldbezogene Bedingungen umstellen.