Sdílení — obsah od Redouana Tayaa
V roce 2025 objevil bezpečnostní výzkumník více než 170 aplikací vytvořených pomocí Lovable, jejichž databáze mohl číst kdokoli.
Nešlo o hacknutí. Byly prostě otevřené.
Jména, e-mailové adresy, telefonní čísla, stavy plateb a někdy také přístupové klíče k dalším službám. Stačilo jen vědět, kam se podívat.
Příčina byla vždy stejná. Databáze, kterou tyto aplikace používají, vám umožňuje určit řádek po řádku, kdo má právo co číst. Jenže toto nastavení chybělo nebo bylo špatně provedeno. A protože aplikace fungovala perfektně, nikdo si toho nevšiml.
To je past prototypů vytvořených pomocí AI. Bezpečnostní zranitelnost se na obrazovce neprojeví. Aplikace funguje, klienti jsou spokojeni, všechno vypadá normálně. Dokud se na to jednoho dne nepodívá někdo jiný.
A neříkám to proti Lovable ani proti nástrojům AI obecně. Dělají přesně to, co se po nich žádá. Problém je, že nikdo je nepožádal, aby toto zkontrolovaly.
Pokud máte aplikaci vytvořenou pomocí takového nástroje a skuteční klienti do ní vkládají svá data, zeptejte se někoho, kdo ví, jak se dívat: „může jeden uživatel číst data jiného uživatele?“
Kontrola zabere 1 hodinu. V den, kdy to místo vás objeví klient, oprava zabere mnohem déle.
Zdroje na LinkedIn
- Profil: Pierre Jean Duvivier aka Sage (LinkedIn)
- Autor sdílení: Redouan Tayaa (LinkedIn)
Příspěvek V roce 2025 objevil bezpečnostní výzkumník více než 170 aplikací vytvořených pomocí Lovable, jejichž databáze mohl číst kdokoli. se poprvé objevil na les plumes qui mordent.
Často kladené otázky
FAQs Incident odhalení databází Lovable v roce 2025
1 Co se stalo s Lovable v roce 2025
Bezpečnostní výzkumník zjistil, že více než 170 aplikací vytvořených pomocí Lovable mělo databáze, které mohl kdokoli na internetu čístbez přihlášení nebo hesla
2 Co je Lovable
Lovable je nástroj poháněný AI, který umožňuje lidem vytvářet webové aplikace tím, že popíší, co chtějí, běžným jazykem, a to i bez větších zkušeností s programováním
3 Co znamená, že databáze mohl číst kdokoli
Znamená to, že data za těmito aplikacemi nebyla chráněna. Kdokoli, kdo databázi našel, mohl zobrazit její obsahjako uživatelské e-maily, zprávy nebo podrobnosti objednávekbez nutnosti oprávnění
4 Jak výzkumník tyto aplikace našel
Výzkumník prohledal internet a hledal databáze připojené k aplikacím vytvořeným pomocí Lovable, které byly veřejně přístupné, a poté ověřil, že je lze číst bez autentizace
5 Šlo o chybu v samotném Lovable
Obecně se to chápe jako problém konfiguraceaplikace byly nasazeny s otevřeným přístupem k databázi, spíše než že by šlo o chybu v základním kódu Lovable. Přesná příčina závisí na nastavení každé aplikace
6 Jaká data byla odhalena
Zprávy naznačovaly, že odhalená data mohla zahrnovat uživatelské informace, jako jsou e-maily, jména a obsah aplikace. Konkrétní údaje se lišily aplikaci od aplikace
7 Proč je to důležité pro vlastníky aplikací
Viditelnost soukromých dat kohokoli může vést k porušování soukromí, právním problémům podle zákonů, jako je GDPR, ztrátě důvěry uživatelů a možnému převzetí účtů
8 Proč je to důležité pro běžné uživatele
Pokud jste se zaregistrovali v některé z těchto aplikací, vaše osobní údaje mohly být viditelné pro cizí lidi. Dávejte pozor na phishingové e-maily a opakované použití vašeho hesla na jiných stránkách
9 Co je databáze jednoduše řečeno
Je to místo, kde aplikace ukládá své informacejako digitální kartotéka pro uživatelské účty, příspěvky a objednávky
10 Co zde znamená autentizace
Znamená to prokázání, kdo jste, než vám bude povoleno zobrazit nebo měnit data. Tyto databáze tento krok úplně přeskočily
11 Co je Row-Level Security
RLS je funkce databáze, která přesně řídí, které řádky dat může každý uživatel vidět. Pokud je vypnutá, everyone can see everything
