2025年,一名安全研究人员发现,超过170个用Lovable构建的应用程序的数据库可被任何人读取。

2025年,一名安全研究人员发现,超过170个用Lovable构建的应用程序的数据库可被任何人读取。

转发——来自Redouan Tayaa的内容

2025年,一位安全研究人员发现了170多个用Lovable构建的应用程序,其数据库可被任何人读取。

不是被黑客入侵。只是敞开着。

姓名、电子邮件地址、电话号码、支付状态,有时还有其他服务的访问密钥。你只需要知道去哪里找。

原因始终相同。这些应用使用的数据库允许你逐行指定谁有权读取什么。只不过该设置缺失或做得不好。而由于应用运行完美,没有人注意到。

这就是AI构建的原型的陷阱。安全漏洞不会显示在屏幕上。应用能运行,客户很满意,一切看起来正常。直到有一天别人来看了一眼。

我说这些不是针对Lovable,也不是针对AI工具本身。它们完全按照要求行事。问题在于没有人要求它们检查这一点。

如果你有一个用这类工具构建的应用,并且真实客户正在向其中输入数据,请找懂行的人看看:“一个用户能读取另一个用户的数据吗?”

检查只需要1小时。等到客户先于你发现的那天,修复就要花长得多的时间。

LinkedIn来源

文章2025年,一位安全研究人员发现了170多个用Lovable构建的应用程序,其数据库可被任何人读取。首次发表于les plumes qui mordent。



常见问题
常见问题 2025年Lovable数据库暴露事件

1 2025年Lovable发生了什么
一位安全研究人员发现,170多个用Lovable构建的应用的数据库可被互联网上的任何人读取——无需登录或密码

2 什么是Lovable
Lovable是一款AI驱动的工具,让人们用自然语言描述想要的东西来构建Web应用——即使没有太多编程经验

3 数据库可被任何人读取意味着什么
这意味着这些应用背后的数据没有受到保护。任何找到该数据库的人都可以查看其内容——比如用户电子邮件、消息或订单详情——无需获得许可

4 研究人员是如何发现这些应用的
研究人员扫描互联网,寻找与Lovable构建的应用相连且被置于公开可访问状态的数据库,然后验证它们可以在未经身份验证的情况下被读取

5 这是Lovable本身的漏洞吗
这通常被理解为配置问题——应用部署时数据库访问权限被留开——而不是Lovable核心代码的缺陷。确切原因取决于每个应用的设置

6 暴露了哪些类型的数据
报告指出,暴露的数据可能包括用户信息,如电子邮件、姓名和应用内容。具体情况因应用而异

7 这对应用所有者为什么重要
任何人的私人数据被可见都可能导致隐私侵犯、根据GDPR等法律引发法律麻烦、失去用户信任以及潜在的账户被接管

8 这对普通用户为什么重要
如果你注册了这些应用之一,你的个人详细信息可能已被陌生人看到。警惕钓鱼邮件以及你的密码在其他网站上的重复使用

9 简单来说什么是数据库
它是应用存储信息的地方——就像用户账户、帖子和订单的数字文件柜

10 这里的身份验证是什么意思
它意味着在被允许查看或更改数据之前证明你是谁。这些数据库完全跳过了该检查

11 什么是行级安全
RLS是一种数据库功能,精确控制每个用户可以查看哪些数据行。如果它被关闭,每个人都能看到一切