Dossier lovable-pre-nov-2025-projectsFuite de modèle et de donnéesSuède
Un compte Lovable gratuit lisait code, clés Supabase et chats des projets d'avant novembre 2025
Un chercheur publiant sous le nom weezerOSINT a révélé que n'importe quel compte Lovable gratuit pouvait accéder au code source, aux identifiants de base Supabase, aux historiques de chat IA et aux données clients connectées d'autres utilisateurs pour les projets créés avant novembre 2025.
ÉlevéeAttaque contre l’IAStatut: Enquête en coursDossier vérifié
Ouvrir dans la carte interactiveCiter ce dossier
- Signalé le
- 20 avr. 2026
- Lieu
- Suède
- Cible
- Projets Lovable créés avant novembre 2025
- Gravité
- Élevée
- Déclenché par
- weezerOSINT (chercheur)
- Type d’acteur
- Chercheurs en sécurité
- Perte déclarée
- Aucune déclarée
- CVE
- Aucun
Ce qui s’est passé
Un chercheur publiant sous le nom weezerOSINT a révélé que n'importe quel compte Lovable gratuit pouvait accéder au code source, aux identifiants de base Supabase, aux historiques de chat IA et aux données clients connectées d'autres utilisateurs pour les projets créés avant novembre 2025.
Impact: Exposition potentielle du code source, des identifiants de bases de données, des historiques de prompts et des données clients de chaque projet antérieur à novembre 2025 ; ampleur et exploitation non confirmées
Qui l’a déclenché
Acteur: weezerOSINT (chercheur)
Attribution: Divulgation publique sur X par le chercheur, amplifiée par le directeur technique de BoldMetrics Morgan Linton ; Lovable n'avait pas répondu au moment des faits
Mobile: Recherche en sécurité et alerte publique
Comment c’est arrivé
Vecteur d’attaque: Lacune de contrôle d'accès côté plateforme permettant des lectures inter-comptes des ressources de projets
Cause racine: Faille d'autorisation rapportée affectant tous les projets antérieurs à un changement de plateforme de novembre 2025 ; non confirmée par Lovable
Chronologie
- Le chercheur révèle l'exposition sur X ; Morgan Linton amplifie l'alerte
- Bastion résume les allégations aux côtés de la CVE RLS de 2025 et d'un incident de février 2026
Réponse
Aucune déclaration de Lovable sur la divulgation d'avril rapportée ; son RSSI avait auparavant renvoyé vers les analyses de sécurité gratuites avant publication
Statut actuel: Enquête en cours
Sources (nouvel onglet)
- Bastion bastion.tech
- Superblocks (background on 2025 CVE) superblocks.com
Citer ce dossier
Un compte Lovable gratuit lisait code, clés Supabase et chats des projets d'avant novembre 2025. AI Threat Watch, dossier lovable-pre-nov-2025-projects, 20 avr. 2026. https://aithreat.io/fr/cases/lovable-pre-nov-2025-projects/
Lien permanent: https://aithreat.io/fr/cases/lovable-pre-nov-2025-projects/