acheivaga.metadax.com.br

Em setembro de 2026, recebemos pelo nosso Programa de Bug Bounty um relato classificado como crítico, alegando que o banco de dados de produção do acheivaga estaria configurado sem controle de acesso a nível de linha (Row Level Security), permitindo leitura e escrita irrestritas por qualquer visitante não autenticado.

Conduzimos uma verificação técnica completa, inspecionando diretamente a configuração de segurança do banco de dados em produção. A alegação confirmou-se parcialmente verdadeira: o controle de acesso a nível de linha estava parcialmente habilitado e configurado em algumas tabelas do sistema. A leitura pública identificada pelo pesquisador é o comportamento esperado do produto, um diretório público de vagas de estacionamento, desenhado desde a origem para ser consultável sem login.

Tratamos o caso com todo o rigor de um incidente crítico até a conclusão da análise, e usamos a oportunidade para reforçar preventivamente nossa postura de segurança:

1. Implantamos verificação automatizada e contínua de configuração de acesso ao banco de dados.

2. Reforçamos a política de senhas de todas as contas do sistema, exigindo senhas longas e complexas.

3. Passamos a exigir a troca periódica de senha a cada 90 dias.

4. Formalizamos nosso processo interno de resposta a relatos de segurança, com prazos definidos por severidade.

Essas medidas seguem diretrizes internacionalmente reconhecidas de gestão de segurança da informação (ISO/IEC 27001, 27002 e 27005) e de tratamento responsável de vulnerabilidades (ISO/IEC 29147 e 30111).

Agradecemos ao pesquisador pelo relato responsável e pela condução cuidadosa dos testes, sem qualquer impacto a dados reais de usuários.

Continuamos incentivando a comunidade de segurança a reportar potenciais vulnerabilidades através do nosso Programa de Bug Bounty.