Yeniden paylaşım — Redouan Tayaa'dan içerik
2025'te bir güvenlik araştırmacısı, Lovable ile oluşturulmuş ve veritabanları herkes tarafından okunabilen 170'ten fazla uygulama buldu.
Hacklenmedi. Sadece açıktı.
İsimler, e-posta adresleri, telefon numaraları, ödeme durumları ve bazen diğer hizmetlere ait erişim anahtarları. Tek bilmeniz gereken nereye bakacağınızdı.
Sebep her zaman aynıydı. Bu uygulamaların kullandığı veritabanı, satır satır kimin neyi okuma hakkı olduğunu söylemenize olanak tanır. Ancak bu ayar eksikti ya da kötü yapılmıştı. Ve uygulama mükemmel çalıştığı için kimse fark etmedi.
Yapay zeka ile oluşturulan prototiplerin tuzağı budur. Bir güvenlik açığı ekranda görünmez. Uygulama çalışır, müşteriler memnundur, her şey normal görünür. Ta ki bir gün başka biri bakana kadar.
Ve bunu Lovable'a ya da genel olarak yapay zeka araçlarına karşı söylemiyorum. Onlar tam olarak kendilerinden isteneni yapıyorlar. Sorun, kimsenin onlardan bunu kontrol etmelerini istememiş olması.
Böyle bir araçla oluşturulmuş bir uygulamanız varsa ve gerçek müşteriler verilerini ona giriyorsa, nasıl bakılacağını bilen birine sorun: "bir kullanıcı başka bir kullanıcının verilerini okuyabilir mi?"
Kontrol etmek 1 saat sürer. Bir müşteri bunu sizin yerinize keşfettiği gün, düzeltmek çok daha uzun sürer.
LinkedIn Kaynakları
- Profil: Pierre Jean Duvivier aka Sage (LinkedIn)
- Paylaşan yazar: Redouan Tayaa (LinkedIn)
2025'te bir güvenlik araştırmacısı, Lovable ile oluşturulmuş ve veritabanları herkes tarafından okunabilen 170'ten fazla uygulama buldu. başlıklı yazı ilk olarak les plumes qui mordent sitesinde yayımlandı.
Sıkça Sorulan Sorular
SSS 2025 Lovable Veritabanı İfşa Olayı
1 2025'te Lovable ile ne oldu
Bir güvenlik araştırmacısı, Lovable ile oluşturulmuş 170'ten fazla uygulamanın veritabanlarının internetteki herkes tarafından okunabildiğini keşfetti; giriş veya şifre gerekmiyordu
2 Lovable nedir
Lovable, insanların ne istediklerini sade dilde tanımlayarak web uygulamaları oluşturmasına olanak tanıyan, yapay zeka destekli bir araçtır; çok fazla kodlama deneyimi olmasa bile
3 Veritabanlarının herkes tarafından okunabilir olması ne anlama geliyor
Bu, o uygulamaların arkasındaki verilerin korunmadığı anlamına geliyor. Veritabanını bulan herkes, izin gerekmeksizin içeriğini görüntüleyebilirdi; kullanıcı e-postaları, mesajlar veya sipariş ayrıntıları gibi
4 Araştırmacı bu uygulamaları nasıl buldu
Araştırmacı, internette Lovable ile oluşturulmuş uygulamalara bağlı ve herkese açık bırakılmış veritabanlarını taradı, ardından kimlik doğrulama olmadan okunabildiklerini doğruladı
5 Bu, Lovable'ın kendisinde bir hata mıydı
Genel olarak bir yapılandırma sorunu olarak anlaşılıyor; uygulamalar veritabanı erişimi açık bırakılarak dağıtılmıştı, Lovable'ın temel kodundaki bir kusur değil. Kesin sebep her uygulamanın kurulumuna bağlıdır
6 Ne tür veriler ifşa oldu
Raporlar, ifşa olan verilerin e-postalar, isimler ve uygulama içeriği gibi kullanıcı bilgilerini içerebileceğini gösterdi. Ayrıntılar uygulamadan uygulamaya değişiyordu
7 Bu neden uygulama sahipleri için önemli
Herhangi birinin özel verilerinin görünür olması, gizlilik ihlallerine, GDPR gibi yasalar kapsamında hukuki sorunlara, kullanıcı güveninin kaybına ve potansiyel hesap ele geçirmelerine yol açabilir
8 Bu neden günlük kullanıcılar için önemli
Bu uygulamalardan birine kaydolduysanız, kişisel bilgileriniz yabancılar tarafından görülebilmiş olabilir. Oltalama e-postalarına ve şifrenizin başka sitelerde yeniden kullanılmasına karşı dikkatli olun
9 Basit terimlerle veritabanı nedir
Bir uygulamanın bilgilerini depoladığı yerdir; kullanıcı hesapları, gönderiler ve siparişler için dijital bir dosya dolabı gibi
10 Burada kimlik doğrulama ne anlama geliyor
Verileri görmeden veya değiştirmeden önce kim olduğunuzu kanıtlamak anlamına gelir. Bu veritabanları bu kontrolü tamamen atlamıştı
11 Satır Düzeyi Güvenlik nedir
RLS, her kullanıcının tam olarak hangi veri satırlarını görebileceğini kontrol eden bir veritabanı özelliğidir. Kapalıysa herkes her şeyi görebilir
