Expediente lovable-rls-cve-2025-48757Filtración de modelos y datosSuecia
Apps creadas con Lovable filtran datos: 303 endpoints de 170 proyectos sin seguridad a nivel de fila
El investigador Matt Palmer descubrió que los backends de Supabase generados por Lovable se entregaban sin seguridad a nivel de fila funcional, permitiendo a cualquiera leer o escribir tablas; un escaneo de 1,645 apps halló 170 que exponían correos, teléfonos, datos de pago y claves de API.
AltaAtaque a la IAEstado: Sin resolverExpediente verificado
Abrir en el mapa interactivoCitar este expediente
- Reportado
- 29 may 2025
- Ubicación
- Suecia
- Objetivo
- Apps generadas por el constructor de apps con IA Lovable
- Gravedad
- Alta
- Provocado por
- Matt Palmer (investigador); exposición causada por los valores por defecto del código generado
- Tipo de actor
- Investigadores de seguridad
- Pérdida reportada
- Ninguna reportada
- CVE
- CVE-2025-48757
Qué ocurrió
El investigador Matt Palmer descubrió que los backends de Supabase generados por Lovable se entregaban sin seguridad a nivel de fila funcional, permitiendo a cualquiera leer o escribir tablas; un escaneo de 1,645 apps halló 170 que exponían correos, teléfonos, datos de pago y claves de API.
Impacto: 170 de 1,645 apps escaneadas (303 endpoints) exponían nombres de usuario, correos, teléfonos, estado de suscripción y pago y claves de API de terceros; un exploit público habría revelado montos de deuda y direcciones de domicilio
Quién lo provocó
Actor: Matt Palmer (investigador); exposición causada por los valores por defecto del código generado
Atribución: Descubierto y divulgado por el investigador Matt Palmer; Lovable disputó el CVE, argumentando que los clientes son responsables de proteger sus propios datos
Motivo: Investigación de seguridad y divulgación coordinada
Cómo ocurrió
Vector de ataque: Consultas directas a endpoints REST de Supabase usando la clave anon pública incrustada en los front ends generados, eludiendo políticas RLS ausentes o ineficaces
Causa raíz: Los backends generados por IA carecían por defecto de seguridad a nivel de fila efectiva y el escáner posterior de Lovable solo comprobaba que existiera una política, no que bloqueara el acceso no autorizado
Cronología
- Palmer nota el problema por primera vez en un sitio creado con Lovable
- Palmer reporta la falla a Lovable con ejemplos de prueba de concepto
- Un ingeniero de Palantir publica un exploit; Palmer inicia una ventana de divulgación de 45 días
- Lovable 2.0 se lanza con una función de escaneo de seguridad
- Se publica CVE-2025-48757; Lovable lo marca como disputado
Respuesta
Lovable añadió una herramienta de revisión de seguridad y advertencias sobre claves de API, pero disputó el CVE y no publicó ningún análisis posterior; los investigadores criticaron que el escáner diera una falsa sensación de seguridad
Estado actual: Sin resolver
Fuentes (pestaña nueva)
- Superblocks superblocks.com
- SentinelOne CVE database sentinelone.com
- Cyber Security News cybersecuritynews.com
- Superblocks (vulnerability write-up) superblocks.com
- Gigazine gigazine.net
- Vibe App Scanner vibeappscanner.com
Citar este expediente
Apps creadas con Lovable filtran datos: 303 endpoints de 170 proyectos sin seguridad a nivel de fila. AI Threat Watch, expediente lovable-rls-cve-2025-48757, 29 may 2025. https://aithreat.io/es/cases/lovable-rls-cve-2025-48757/
Enlace permanente: https://aithreat.io/es/cases/lovable-rls-cve-2025-48757/