Споделяне отново — съдържание от Redouan Tayaa
През 2025 г. изследовател по сигурността откри повече от 170 приложения, изградени с Lovable, чиито бази данни бяха четени от всеки.
Не хакнати. Просто отворени.
Имена, имейл адреси, телефонни номера, статуси на плащане и понякога ключове за достъп до други услуги. Всичко, което трябваше да знаете, беше къде да търсите.
Причината винаги беше една и съща. Базата данни, използвана от тези приложения, ви позволява да кажете, ред по ред, кой има право да чете какво. Само че тази настройка липсваше или беше направена лошо. И тъй като приложението работеше перфектно, никой не забеляза.
Това е капанът с прототипите, изградени с AI. Една уязвимост в сигурността не се показва на екрана. Приложението работи, клиентите са доволни, всичко изглежда нормално. Докато един ден някой друг не погледне.
И не казвам това срещу Lovable или срещу AI инструментите като цяло. Те правят точно това, което им е казано да правят. Проблемът е, че никой не ги е помолил да проверят това.
Ако имате приложение, изградено с инструмент като този, и реални клиенти въвеждат данните си в него, попитайте някой, който знае как да провери: „може ли един потребител да чете данните на друг потребител?“
Проверката отнема 1 час. В деня, в който клиент открие това вместо вас, поправката отнема много повече време.
Източници от LinkedIn
- Профил: Pierre Jean Duvivier, известен още като Sage (LinkedIn)
- Автор на споделеното: Redouan Tayaa (LinkedIn)
Публикацията През 2025 г. изследовател по сигурността откри повече от 170 приложения, изградени с Lovable, чиито бази данни бяха четени от всеки. се появи за първи път на les plumes qui mordent.
Често задавани въпроси
ЧЗВ Инцидентът с излагане на бази данни на Lovable през 2025 г.
1 Какво се случи с Lovable през 2025 г.
Изследовател по сигурността откри, че повече от 170 приложения, изградени с Lovable, имаха бази данни, които всеки в интернет можеше да чете — без необходимост от вход или парола
2 Какво е Lovable
Lovable е инструмент, задвижван от AI, който позволява на хората да изграждат уеб приложения, като описват какво искат на обикновен език — дори без много опит в програмирането
3 Какво означава, че базите данни са били четени от всеки
Означава, че данните зад тези приложения не са били защитени. Всеки, който намереше базата данни, можеше да види съдържанието ѝ — като имейли на потребители, съобщения или подробности за поръчки — без да се нуждае от разрешение
4 Как изследователят намери тези приложения
Изследователят сканира интернет за бази данни, свързани с приложения, изградени с Lovable, които бяха оставени публично достъпни, след което провери, че могат да бъдат четени без автентикация
5 Беше ли това грешка в самия Lovable
Обикновено се разбира като проблем с конфигурацията — приложенията са били внедрени с оставен отворен достъп до базата данни — а не като дефект в основния код на Lovable. Точната причина зависи от настройката на всяко приложение
6 Какъв вид данни бяха изложени
Докладите показват, че изложените данни може да включват потребителска информация, като имейли, имена и съдържание на приложението. Конкретните данни варираха от приложение до приложение
7 Защо това е важно за собствениците на приложения
Видимостта на нечии лични данни може да доведе до нарушения на поверителността, правни проблеми съгласно закони като GDPR, загуба на доверие от потребителите и потенциално отвземане на акаунти
8 Защо това е важно за обикновените потребители
Ако сте се регистрирали в едно от тези приложения, личните ви данни може да са били видими за непознати. Внимавайте за фишинг имейли и за повторно използване на паролата ви на други сайтове
9 Какво е база данни с прости думи
Това е мястото, където едно приложение съхранява информацията си — като цифров картотечен шкаф за потребителски акаунти, публикации и поръчки
10 Какво означава автентикация тук
Означава доказване на това кой сте, преди да ви бъде позволено да видите или промените данни. Тези бази данни напълно са пропуснали тази проверка
11 Какво е Row-Level Security
RLS е функция на базата данни, която контролира точно кои редове с данни може да вижда всеки потребител. Ако е изключена, всеки може да вижда всичко
