بازنشر — محتوایی از رضوان طایع
در سال ۲۰۲۵، یک پژوهشگر امنیتی بیش از ۱۷۰ اپلیکیشن ساخته‌شده با Lovable را پیدا کرد که پایگاه‌های داده‌شان توسط هر کسی قابل خواندن بود.
هک نشده. فقط باز.
نام‌ها، آدرس‌های ایمیل، شماره‌های تلفن، وضعیت پرداخت، و گاهی کلیدهای دسترسی به سرویس‌های دیگر. تنها چیزی که لازم بود بدانید این بود که کجا را نگاه کنید.
علت همیشه یکسان بود. پایگاه داده‌ای که این اپ‌ها استفاده می‌کنند به شما اجازه می‌دهد سطر به سطر بگویید چه کسی حق خواندن چه چیزی را دارد. جز اینکه این تنظیم یا وجود نداشت یا بد انجام شده بود. و چون اپ کاملاً کار می‌کرد، هیچ‌کس متوجه نشد.
این همان تله نمونه‌های اولیه ساخته‌شده با هوش مصنوعی است. یک نقص امنیتی روی صفحه نمایش ظاهر نمی‌شود. اپ کار می‌کند، مشتری‌ها راضی هستند، همه چیز عادی به نظر می‌رسد. تا روزی که شخص دیگری نگاهی بیندازد.
و من این را علیه Lovable یا علیه ابزارهای هوش مصنوعی به طور کلی نمی‌گویم. آن‌ها دقیقاً همان کاری را می‌کنند که از آن‌ها خواسته می‌شود. مشکل این است که هیچ‌کس از آن‌ها نخواسته بود این را بررسی کنند.
اگر اپی دارید که با ابزاری مثل این ساخته شده، و مشتری‌های واقعی داده‌هایشان را در آن می‌گذارند، از کسی که می‌داند چطور نگاه کند بپرسید: «آیا یک کاربر می‌تواند داده‌های کاربر دیگر را بخواند؟»
بررسی آن ۱ ساعت وقت می‌برد. روزی که مشتری آن را به جای شما کشف کند، رفع آن بسیار بیشتر طول می‌کشد.
منابع لینکدین
- پروفایل: پیر ژان دوویویه معروف به سیج (لینکدین)
- نویسنده مشترک: رضوان طایع (لینکدین)
پست در سال ۲۰۲۵، یک پژوهشگر امنیتی بیش از ۱۷۰ اپلیکیشن ساخته‌شده با Lovable را پیدا کرد که پایگاه‌های داده‌شان توسط هر کسی قابل خواندن بود. ابتدا در les plumes qui mordent منتشر شد.
سوالات متداول
سوالات متداول حادثه افشای پایگاه داده Lovable در سال ۲۰۲۵
۱ چه اتفاقی با Lovable در سال ۲۰۲۵ افتاد
یک پژوهشگر امنیتی کشف کرد که بیش از ۱۷۰ اپ ساخته‌شده با Lovable پایگاه‌های داده‌ای داشتند که هر کسی در اینترنت می‌توانست آن‌ها را بخواندبدون نیاز به ورود یا رمز عبور
۲ Lovable چیست
Lovable یک ابزار مبتنی بر هوش مصنوعی است که به افراد اجازه می‌دهد با توصیف آنچه می‌خواهند به زبان ساده اپلیکیشن‌های وب بسازندحتی بدون تجربه زیاد در کدنویسی
۳ اینکه پایگاه‌های داده توسط هر کسی قابل خواندن بودند یعنی چه
یعنی داده‌های پشت آن اپ‌ها محافظت نشده بود هر کسی که پایگاه داده را پیدا می‌کرد می‌توانست محتویات آن را ببیندمثل ایمیل‌های کاربران پیام‌ها یا جزئیات سفارشبدون نیاز به مجوز
۴ پژوهشگر چگونه این اپ‌ها را پیدا کرد
پژوهشگر اینترنت را برای پایگاه‌های داده متصل به اپ‌های ساخته‌شده با Lovable که به صورت عمومی قابل دسترسی رها شده بودند اسکن کرد سپس تأیید کرد که می‌توان آن‌ها را بدون احراز هویت خواند
۵ آیا این یک باگ در خود Lovable بود
عموماً به عنوان یک مشکل پیکربندی تلقی می‌شوداپ‌ها با دسترسی پایگاه داده باز مستقر شده بودندنه یک نقص در کد اصلی Lovable علت دقیق به تنظیمات هر اپ بستگی دارد
۶ چه نوع داده‌ای افشا شد
گزارش‌ها نشان می‌دهند داده‌های افشاشده می‌توانست شامل اطلاعات کاربر مانند ایمیل‌ها نام‌ها و محتوای اپ باشد جزئیات از اپی به اپ دیگر متفاوت بود
۷ چرا این برای صاحبان اپ اهمیت دارد
قابل مشاهده بودن داده‌های خصوصی هر کسی می‌تواند منجر به نقض حریم خصوصی مشکلات قانونی تحت قوانینی مانند GDPR از دست دادن اعتماد کاربران و احتمال تصاحب حساب شود
۸ چرا این برای کاربران عادی اهمیت دارد
اگر در یکی از این اپ‌ها ثبت‌نام کرده‌اید ممکن است جزئیات شخصی‌تان برای غریبه‌ها قابل مشاهده بوده باشد مراقب ایمیل‌های فیشینگ و استفاده مجدد از رمز عبورتان در سایت‌های دیگر باشید
۹ پایگاه داده به زبان ساده چیست
جایی است که یک اپ اطلاعاتش را ذخیره می‌کندمثل یک بایگانی دیجیتال برای حساب‌های کاربران پست‌ها و سفارش‌ها
۱۰ احراز هویت در اینجا یعنی چه
یعنی اثبات اینکه شما چه کسی هستید قبل از اینکه اجازه داشته باشید داده‌ای را ببینید یا تغییر دهید این پایگاه‌های داده کاملاً از این بررسی صرف‌نظر کرده بودند
۱۱ امنیت سطح سطر چیست
RLS یک ویژگی پایگاه داده است که دقیقاً کنترل می‌کند هر کاربر کدام سطرهای داده را می‌تواند ببیند اگر خاموش باشد همه می‌توانند همه چیز را ببینند
