ملف lovable-rls-cve-2025-48757تسريب نماذج وبياناتالسويد
تطبيقات Lovable تسرّب بيانات المستخدمين: 303 نقاط نهاية في 170 مشروعاً بلا أمان على مستوى الصفوف
وجد الباحث Matt Palmer أن واجهات Supabase الخلفية المولّدة بـ Lovable شُحنت دون أمان فعّال على مستوى الصفوف، ما يتيح لأي شخص قراءة الجداول أو الكتابة فيها؛ وكشف مسح 1,645 تطبيقاً عن 170 تطبيقاً تعرض رسائل بريد وهواتف وبيانات دفع ومفاتيح API.
عاليةهجوم على الذكاء الاصطناعيالحالة: لم يُحلملف موثّق
افتح في الخريطة التفاعليةالاستشهاد بهذا الملف
- تاريخ الإبلاغ
- 29 مايو 2025
- الموقع
- السويد
- الهدف
- التطبيقات المولّدة بمنشئ التطبيقات Lovable
- الخطورة
- عالية
- الجهة المنفذة
- Matt Palmer (باحث)؛ الكشف ناتج عن الإعدادات الافتراضية للشيفرة المولّدة
- نوع الجهة
- باحثون أمنيون
- الخسارة المُعلنة
- لم يُعلن عن خسارة
- CVE
- CVE-2025-48757
ماذا حدث
وجد الباحث Matt Palmer أن واجهات Supabase الخلفية المولّدة بـ Lovable شُحنت دون أمان فعّال على مستوى الصفوف، ما يتيح لأي شخص قراءة الجداول أو الكتابة فيها؛ وكشف مسح 1,645 تطبيقاً عن 170 تطبيقاً تعرض رسائل بريد وهواتف وبيانات دفع ومفاتيح API.
الأثر: 170 من 1,645 تطبيقاً مفحوصاً (303 نقاط نهاية) كشفت أسماء المستخدمين ورسائل البريد وأرقام الهواتف وحالة الاشتراك والدفع ومفاتيح API لأطراف ثالثة؛ وأفادت التقارير بأن استغلالاً علنياً كشف مبالغ ديون وعناوين منازل
من نفّذها
الجهة: Matt Palmer (باحث)؛ الكشف ناتج عن الإعدادات الافتراضية للشيفرة المولّدة
الإسناد: اكتشفه وكشف عنه الباحث Matt Palmer؛ واعترضت Lovable على CVE بحجة أن العملاء مسؤولون عن تأمين بياناتهم
الدافع: بحث أمني وكشف منسق
كيف حدثت
أسلوب الهجوم: استعلامات مباشرة إلى نقاط نهاية Supabase REST باستخدام مفتاح anon العام المضمّن في الواجهات الأمامية المولّدة، متجاوزة سياسات RLS الغائبة أو غير الفعالة
السبب الجذري: الواجهات الخلفية المولّدة بالذكاء الاصطناعي افتقرت افتراضياً إلى أمان فعّال على مستوى الصفوف، وفحص ماسح Lovable اللاحق وجود سياسة فقط لا منعها للوصول غير المصرح به
التسلسل الزمني
- Palmer يلاحظ المشكلة أولاً على موقع مبني بـ Lovable
- Palmer يبلّغ Lovable عن الثغرة مع أمثلة إثبات مفهوم
- مهندس في Palantir ينشر استغلالاً علنياً؛ Palmer يبدأ مهلة كشف مدتها 45 يوماً
- إصدار Lovable 2.0 مع ميزة فحص أمني
- نشر CVE-2025-48757؛ وLovable تصنفه معترضاً عليه
الاستجابة
أضافت Lovable أداة مراجعة أمنية وتحذيرات لمفاتيح API لكنها اعترضت على CVE ولم تنشر تقريراً لاحقاً؛ وانتقد باحثون الماسح لإعطائه شعوراً زائفاً بالأمان
الحالة الراهنة: لم يُحل
المصادر (تُفتح في تبويب جديد)
- Superblocks superblocks.com
- SentinelOne CVE database sentinelone.com
- Cyber Security News cybersecuritynews.com
- Superblocks (vulnerability write-up) superblocks.com
- Gigazine gigazine.net
- Vibe App Scanner vibeappscanner.com
الاستشهاد بهذا الملف
تطبيقات Lovable تسرّب بيانات المستخدمين: 303 نقاط نهاية في 170 مشروعاً بلا أمان على مستوى الصفوف. AI Threat Watch, ملف lovable-rls-cve-2025-48757, 29 مايو 2025. https://aithreat.io/ar/cases/lovable-rls-cve-2025-48757/
رابط دائم: https://aithreat.io/ar/cases/lovable-rls-cve-2025-48757/