Udostępnij ponownie — treść od Redouana Tayaa
W 2025 roku badacz bezpieczeństwa znalazł ponad 170 aplikacji zbudowanych za pomocą Lovable, których bazy danych mogły być odczytane przez każdego.
Nie zhakowane. Po prostu otwarte.
Imiona i nazwiska, adresy e-mail, numery telefonów, statusy płatności, a czasami klucze dostępu do innych usług. Wystarczyło wiedzieć, gdzie szukać.
Przyczyna była zawsze ta sama. Baza danych używana przez te aplikacje pozwala określić, wiersz po wierszu, kto ma prawo czytać co. Tyle że to ustawienie było nieobecne lub źle zrobione. A ponieważ aplikacja działała doskonale, nikt tego nie zauważył.
To właśnie pułapka prototypów zbudowanych przez AI. Luka w zabezpieczeniach nie pojawia się na ekranie. Aplikacja działa, klienci są zadowoleni, wszystko wygląda normalnie. Do dnia, w którym ktoś inny na to spojrzy.
I nie mówię tego przeciwko Lovable ani przeciwko narzędziom AI w ogóle. Robią dokładnie to, o co się je prosi. Problem polega na tym, że nikt nie poprosił ich o sprawdzenie tego.
Jeśli masz aplikację zbudowaną za pomocą takiego narzędzia i prawdziwi klienci wprowadzają do niej swoje dane, zapytaj kogoś, kto wie, jak sprawdzić: „czy jeden użytkownik może czytać dane innego użytkownika?”
Sprawdzenie zajmuje 1 godzinę. W dniu, w którym odkryje to klient zamiast ciebie, naprawa zajmuje znacznie więcej czasu.
Źródła LinkedIn
- Profil: Pierre Jean Duvivier aka Sage (LinkedIn)
- Autor udostępnienia: Redouan Tayaa (LinkedIn)
Wpis W 2025 roku badacz bezpieczeństwa znalazł ponad 170 aplikacji zbudowanych za pomocą Lovable, których bazy danych mogły być odczytane przez każdego. pojawił się najpierw na les plumes qui mordent.
Najczęściej zadawane pytania
FAQ Incydent z ekspozycją baz danych Lovable w 2025 roku
1 Co się stało z Lovable w 2025 roku
Badacz bezpieczeństwa odkrył, że ponad 170 aplikacji zbudowanych za pomocą Lovable miało bazy danych, które każdy w internecie mógł odczytać — bez logowania i bez hasła
2 Czym jest Lovable
Lovable to narzędzie oparte na AI, które pozwala ludziom budować aplikacje webowe, opisując to, czego chcą, zwykłym językiem — nawet bez dużego doświadczenia w programowaniu
3 Co oznacza, że bazy danych mogły być odczytane przez każdego
Oznacza to, że dane stojące za tymi aplikacjami nie były chronione. Każdy, kto znalazł bazę danych, mógł zobaczyć jej zawartość — na przykład e-maile użytkowników, wiadomości lub szczegóły zamówień — bez potrzeby uzyskania uprawnień
4 Jak badacz znalazł te aplikacje
Badacz przeskanował internet w poszukiwaniu baz danych połączonych z aplikacjami zbudowanymi za pomocą Lovable, które pozostawiono publicznie dostępne, a następnie zweryfikował, że można je odczytać bez uwierzytelniania
5 Czy to był błąd w samym Lovable
Powszechnie rozumie się to jako problem konfiguracji — aplikacje zostały wdrożone z otwartym dostępem do bazy danych — a nie jako wadę w podstawowym kodzie Lovable. Dokładna przyczyna zależy od konfiguracji każdej aplikacji
6 Jakie dane zostały ujawnione
Raporty wskazywały, że ujawnione dane mogły obejmować informacje o użytkownikach, takie jak e-maile, imiona i nazwiska oraz treści aplikacji. Konkretne dane różniły się w zależności od aplikacji
7 Dlaczego ma to znaczenie dla właścicieli aplikacji
Widoczność czyichś prywatnych danych może prowadzić do naruszeń prywatności, problemów prawnych na mocy przepisów takich jak RODO, utraty zaufania użytkowników i potencjalnego przejęcia kont
8 Dlaczego ma to znaczenie dla zwykłych użytkowników
Jeśli zarejestrowałeś się w jednej z tych aplikacji, twoje dane osobowe mogły być widoczne dla obcych osób. Uważaj na e-maile phishingowe i ponowne użycie twojego hasła na innych stronach
9 Czym jest baza danych w prostych słowach
To miejsce, w którym aplikacja przechowuje swoje informacje — jak cyfrowa szafa na dokumenty dla kont użytkowników, postów i zamówień
10 Co oznacza tutaj uwierzytelnianie
Oznacza udowodnienie, kim jesteś, zanim otrzymasz pozwolenie na zobaczenie lub zmianę danych. Te bazy danych całkowicie pominęły tę kontrolę
11 Czym jest zabezpieczenie na poziomie wiersza
RLS to funkcja bazy danych, która dokładnie kontroluje, które wiersze danych może zobaczyć każdy użytkownik. Jeśli jest wyłączona, wszyscy widzą wszystko
