Újramegosztás — tartalom Redouan Tayaa-tól
2025-ben egy biztonsági kutató több mint 170, a Lovable-lel épített alkalmazást talált, amelyek adatbázisai bárki számára olvashatók voltak.
Nem feltörték. Egyszerűen nyitva voltak.
Nevek, e-mail-címek, telefonszámok, fizetési státuszok, és néha más szolgáltatásokhoz tartozó hozzáférési kulcsok. Mindössze azt kellett tudni, hol keresse az ember.
Az ok mindig ugyanaz volt. Az ezeknél az alkalmazásoknál használt adatbázis lehetővé teszi, hogy soronként megmondd, kinek van joga olvasni mit. Csak éppen ez a beállítás hiányzott vagy rosszul volt megcsinálva. És mivel az alkalmazás tökéletesen működött, senki nem vette észre.
Ez az AI-val épített prototípusok csapdája. Egy biztonsági rés nem jelenik meg a képernyőn. Az alkalmazás működik, az ügyfelek elégedettek, minden normálisnak tűnik. Egészen addig a napig, amíg valaki más rá nem néz.
És ezt nem a Lovable ellen mondom, sem általában az AI-eszközök ellen. Ők pontosan azt teszik, amire kérik őket. A probléma az, hogy senki nem kérte meg őket ennek ellenőrzésére.
Ha van egy ilyen eszközzel épített alkalmazásod, és valódi ügyfelek teszik bele az adataikat, kérdezd meg valakitől, aki tudja, hogyan kell megnézni: „olvashatja-e az egyik felhasználó egy másik felhasználó adatait?”
Egy órába telik ellenőrizni. Azon a napon, amikor egy ügyfél fedezi fel helyetted, sokkal tovább tart kijavítani.
LinkedIn-források
- Profil: Pierre Jean Duvivier aka Sage (LinkedIn)
- Megosztó szerző: Redouan Tayaa (LinkedIn)
A bejegyzés In 2025, a security researcher found more than 170 applications built with Lovable whose databases were readable by anyone. először itt jelent meg: les plumes qui mordent.
Gyakran Ismételt Kérdések
GYIK A 2025-ös Lovable adatbázis-kitettségi incidens
1 Mi történt a Lovable-lel 2025-ben
Egy biztonsági kutató felfedezte, hogy több mint 170 Lovable-lel épített alkalmazásnak olyan adatbázisa volt, amelyet az interneten bárki olvashatottbejelentkezés vagy jelszó nélkül
2 Mi az a Lovable
A Lovable egy AI-vezérelt eszköz, amely lehetővé teszi, hogy az emberek webalkalmazásokat építsenek úgy, hogy egyszerű nyelven leírják, mit szeretnének, akár komolyabb kódolási tapasztalat nélkül is
3 Mit jelent, hogy az adatbázisok bárki számára olvashatók voltak
Azt jelenti, hogy az ezen alkalmazások mögötti adatok nem voltak védve. Bárki, aki megtalálta az adatbázist, megtekinthesse annak tartalmátpéldául felhasználói e-maileket, üzeneteket vagy rendelési részleteketanélkül, hogy engedélyre lett volna szüksége
4 Hogyan találta meg a kutató ezeket az alkalmazásokat
A kutató átvizsgálta az internetet a Lovable-lel épített alkalmazásokhoz kapcsolódó, nyilvánosan elérhetővé tett adatbázisok után, majd ellenőrizte, hogy hitelesítés nélkül olvashatók-e
5 Hiba volt ez magában a Lovable-ben
Általában konfigurációs problémaként értelmezikaz alkalmazásokat nyitva hagyott adatbázis-hozzáféréssel telepítették, nem pedig a Lovable alapszintű kódjának hibájaként. A pontos ok az egyes alkalmazások beállításaitól függ
6 Milyen adatok kerültek ki
A jelentések szerint a kitett adatok felhasználói információkat tartalmazhattak, például e-maileket, neveket és alkalmazástartalmat. A részletek alkalmazásonként változtak
7 Miért fontos ez az alkalmazástulajdonosok számára
Ha bárki magánadatai láthatók, az adatvédelmi jogsértésekhez, jogi problémákhoz vezethet olyan törvények értelmében, mint a GDPR, a felhasználói bizalom elvesztéséhez és esetleges fiókátvételekhez
8 Miért fontos ez a hétköznapi felhasználók számára
Ha regisztráltál valamelyik ilyen alkalmazásba, a személyes adataid idegenek számára láthatók lehettek. Figyelj az adathalász e-mailekre és a jelszavad újrafelhasználására más oldalakon
9 Mi az az adatbázis egyszerűen fogalmazva
Ez az a hely, ahol egy alkalmazás tárolja az információitmint egy digitális iratszekrény a felhasználói fiókok, bejegyzések és rendelések számára
10 Mit jelent itt a hitelesítés
Azt jelenti, hogy bizonyítod, ki vagy, mielőtt engedélyt kapnál adatok megtekintésére vagy módosítására. Ezek az adatbázisok teljesen kihagyták ezt az ellenőrzést
11 Mi az a sorszintű biztonság
Az RLS egy adatbázis-funkció, amely pontosan szabályozza, hogy az egyes felhasználók mely adatsorokat láthatják. Ha ki van kapcsolva, mindenki mindent láthat
