재공유 — Redouan Tayaa의 콘텐츠
2025년, 한 보안 연구원이 Lovable로 구축된 170개 이상의 애플리케이션에서 데이터베이스가 누구나 읽을 수 있는 상태임을 발견했습니다.
해킹된 것이 아닙니다. 그저 열려 있었을 뿐입니다.
이름, 이메일 주소, 전화번호, 결제 상태, 때로는 다른 서비스에 대한 액세스 키까지. 어디를 봐야 하는지만 알면 되었습니다.
원인은 항상 같았습니다. 이 앱들이 사용하는 데이터베이스는 행 단위로 누가 무엇을 읽을 권한이 있는지 지정할 수 있게 해줍니다. 다만 그 설정이 누락되었거나 잘못된 것이었습니다. 그리고 앱이 완벽하게 작동했기 때문에 아무도 알아차리지 못했습니다.
이것이 AI로 구축된 프로토타입의 함정입니다. 보안 결함은 화면에 나타나지 않습니다. 앱은 작동하고, 고객은 만족하며, 모든 것이 정상으로 보입니다. 누군가 다른 사람이 들여다보는 날까지는요.
그리고 저는 이것을 Lovable이나 일반적인 AI 도구에 반대하여 말하는 것이 아닙니다. 그들은 요청받은 것을 정확히 수행합니다. 문제는 아무도 그들에게 이것을 확인하라고 요청하지 않았다는 것입니다.
이런 도구로 구축된 앱이 있고 실제 고객이 그 안에 데이터를 입력하고 있다면, 어떻게 살펴봐야 하는지 아는 사람에게 물어보세요: "한 사용자가 다른 사용자의 데이터를 읽을 수 있나요?"
확인하는 데 1시간이 걸립니다. 당신 대신 고객이 그것을 발견하는 날에는 고치는 데 훨씬 더 오래 걸립니다.
LinkedIn 출처
- 프로필: Pierre Jean Duvivier aka Sage (LinkedIn)
- 공유 작성자: Redouan Tayaa (LinkedIn)
게시물 2025년, 한 보안 연구원이 Lovable로 구축된 170개 이상의 애플리케이션에서 데이터베이스가 누구나 읽을 수 있는 상태임을 발견했습니다. 는 les plumes qui mordent에서 처음 게재되었습니다.
자주 묻는 질문
FAQ 2025년 Lovable 데이터베이스 노출 사건
1 2025년 Lovable에서 무슨 일이 있었나요
한 보안 연구원이 Lovable로 구축된 170개 이상의 앱에서 인터넷의 누구나 로그인이나 비밀번호 없이 읽을 수 있는 데이터베이스가 있음을 발견했습니다
2 Lovable이란 무엇인가요
Lovable은 사람들이 원하는 것을 일상 언어로 설명하여 웹 앱을 구축할 수 있게 해주는 AI 기반 도구로, 코딩 경험이 많지 않아도 됩니다
3 데이터베이스가 누구나 읽을 수 있었다는 것은 무슨 의미인가요
그 앱들 뒤에 있는 데이터가 보호되지 않았다는 의미입니다. 데이터베이스를 찾은 사람은 누구나 권한 없이 그 내용물(사용자 이메일, 메시지, 주문 세부 정보 등)을 볼 수 있었습니다
4 연구원은 어떻게 이 앱들을 찾았나요
연구원은 인터넷을 스캔하여 공개적으로 접근 가능한 상태로 남겨진 Lovable로 구축된 앱에 연결된 데이터베이스를 찾은 다음, 인증 없이 읽을 수 있는지 확인했습니다
5 이것은 Lovable 자체의 버그였나요
일반적으로 이것은 구성 문제로 이해됩니다. 즉, Lovable의 핵심 코드의 결함이라기보다는 데이터베이스 접근이 열린 상태로 앱이 배포된 것입니다. 정확한 원인은 각 앱의 설정에 따라 다릅니다
6 어떤 종류의 데이터가 노출되었나요
보고서에 따르면 노출된 데이터에는 이메일, 이름, 앱 콘텐츠와 같은 사용자 정보가 포함될 수 있었습니다. 구체적인 내용은 앱마다 달랐습니다
7 이것이 앱 소유자에게 왜 중요한가요
누군가의 개인 데이터가 노출되면 프라이버시 침해, GDPR과 같은 법률에 따른 법적 문제, 사용자 신뢰 상실, 잠재적인 계정 탈취로 이어질 수 있습니다
8 이것이 일반 사용자에게 왜 중요한가요
이러한 앱 중 하나에 가입했다면 개인 정보가 낯선 사람에게 노출되었을 수 있습니다. 피싱 이메일과 다른 사이트에서의 비밀번호 재사용에 주의하세요
9 데이터베이스란 간단히 말해 무엇인가요
앱이 정보를 저장하는 장소입니다. 사용자 계정, 게시물, 주문을 위한 디지털 파일 캐비닛과 같습니다
10 여기서 인증이란 무엇을 의미하나요
데이터를 보거나 변경하기 전에 자신이 누구인지 증명하는 것을 의미합니다. 이 데이터베이스들은 그 확인 절차를 완전히 건너뛰었습니다
11 행 수준 보안이란 무엇인가요
RLS는 각 사용자가 볼 수 있는 데이터 행을 정확히 제어하는 데이터베이스 기능입니다. 이것이 꺼져 있으면 모든 사람이 모든 것을 볼 수 있습니다
