Expediente lovable-pre-nov-2025-projectsFiltración de modelos y datosSuecia
Investigador: cuenta gratuita de Lovable podía leer código, claves y chats de proyectos antiguos
Un investigador que publica como weezerOSINT reveló que cualquier cuenta gratuita de Lovable podía acceder al código fuente de otros usuarios, credenciales de bases de datos de Supabase, historiales de chat con IA y datos de clientes conectados de proyectos creados antes de noviembre de 2025.
AltaAtaque a la IAEstado: En investigaciónExpediente verificado
Abrir en el mapa interactivoCitar este expediente
- Reportado
- 20 abr 2026
- Ubicación
- Suecia
- Objetivo
- Proyectos de Lovable creados antes de noviembre de 2025
- Gravedad
- Alta
- Provocado por
- weezerOSINT (investigador)
- Tipo de actor
- Investigadores de seguridad
- Pérdida reportada
- Ninguna reportada
- CVE
- Ninguno
Qué ocurrió
Un investigador que publica como weezerOSINT reveló que cualquier cuenta gratuita de Lovable podía acceder al código fuente de otros usuarios, credenciales de bases de datos de Supabase, historiales de chat con IA y datos de clientes conectados de proyectos creados antes de noviembre de 2025.
Impacto: Posible exposición de código fuente, credenciales de bases de datos, historiales de prompts y datos de clientes de cada proyecto anterior a noviembre de 2025; escala y explotación sin confirmar
Quién lo provocó
Actor: weezerOSINT (investigador)
Atribución: Divulgación pública en X por el investigador, amplificada por el CTO de BoldMetrics Morgan Linton; Lovable no había respondido al momento del reporte
Motivo: Investigación de seguridad y advertencia pública
Cómo ocurrió
Vector de ataque: Brecha en el control de acceso del lado de la plataforma que permitía lecturas entre cuentas de los activos de proyectos
Causa raíz: Falla de autorización reportada que afectaba a todos los proyectos anteriores a un cambio de plataforma de noviembre de 2025; no confirmada por Lovable
Cronología
- El investigador revela la exposición en X; Morgan Linton amplifica la advertencia
- Bastion resume las afirmaciones junto con el CVE de RLS de 2025 y un incidente de febrero de 2026
Respuesta
Sin declaración de Lovable sobre la divulgación de abril reportada; su CISO había señalado antes los escaneos de seguridad gratuitos previos a la publicación
Estado actual: En investigación
Fuentes (pestaña nueva)
- Bastion bastion.tech
- Superblocks (background on 2025 CVE) superblocks.com
Citar este expediente
Investigador: cuenta gratuita de Lovable podía leer código, claves y chats de proyectos antiguos. AI Threat Watch, expediente lovable-pre-nov-2025-projects, 20 abr 2026. https://aithreat.io/es/cases/lovable-pre-nov-2025-projects/
Enlace permanente: https://aithreat.io/es/cases/lovable-pre-nov-2025-projects/