Dossier lovable-rls-cve-2025-48757Fuite de modèle et de donnéesSuède
Fuites de données dans des apps Lovable : 303 endpoints de 170 projets sans sécurité par ligne
Le chercheur Matt Palmer a constaté que les backends Supabase générés par Lovable étaient livrés sans sécurité au niveau des lignes fonctionnelle, laissant quiconque lire ou écrire les tables ; un balayage de 1 645 apps en a trouvé 170 exposant e-mails, téléphones, données de paiement et clés d'API.
ÉlevéeAttaque contre l’IAStatut: Non résoluDossier vérifié
Ouvrir dans la carte interactiveCiter ce dossier
- Signalé le
- 29 mai 2025
- Lieu
- Suède
- Cible
- Applications générées par le constructeur d'apps IA Lovable
- Gravité
- Élevée
- Déclenché par
- Matt Palmer (chercheur) ; exposition due aux réglages par défaut du code généré
- Type d’acteur
- Chercheurs en sécurité
- Perte déclarée
- Aucune déclarée
- CVE
- CVE-2025-48757
Ce qui s’est passé
Le chercheur Matt Palmer a constaté que les backends Supabase générés par Lovable étaient livrés sans sécurité au niveau des lignes fonctionnelle, laissant quiconque lire ou écrire les tables ; un balayage de 1 645 apps en a trouvé 170 exposant e-mails, téléphones, données de paiement et clés d'API.
Impact: 170 des 1 645 apps analysées (303 endpoints) exposaient noms d'utilisateur, e-mails, numéros de téléphone, statuts d'abonnement et de paiement et clés d'API tierces ; un exploit public aurait révélé des montants de dettes et des adresses personnelles
Qui l’a déclenché
Acteur: Matt Palmer (chercheur) ; exposition due aux réglages par défaut du code généré
Attribution: Découvert et divulgué par le chercheur Matt Palmer ; Lovable a contesté la CVE, estimant que la sécurisation des données incombe aux clients
Mobile: Recherche en sécurité et divulgation coordonnée
Comment c’est arrivé
Vecteur d’attaque: Requêtes directes vers les endpoints REST de Supabase à l'aide de la clé anon publique intégrée aux frontends générés, contournant des politiques RLS absentes ou inefficaces
Cause racine: Les backends générés par IA n'avaient par défaut aucune sécurité au niveau des lignes effective, et le scanner ajouté ensuite par Lovable vérifiait seulement l'existence d'une politique, pas qu'elle bloquait les accès non autorisés
Chronologie
- Palmer remarque le problème pour la première fois sur un site construit avec Lovable
- Palmer signale la faille à Lovable avec des exemples de preuve de concept
- Un ingénieur de Palantir publie un exploit ; Palmer ouvre une fenêtre de divulgation de 45 jours
- Lovable 2.0 sort avec une fonction d'analyse de sécurité
- Publication de la CVE-2025-48757 ; Lovable la marque comme contestée
Réponse
Lovable a ajouté un outil de revue de sécurité et des avertissements sur les clés d'API, mais a contesté la CVE et n'a publié aucun post-mortem ; des chercheurs ont reproché au scanner de donner un faux sentiment de sécurité
Statut actuel: Non résolu
Sources (nouvel onglet)
- Superblocks superblocks.com
- SentinelOne CVE database sentinelone.com
- Cyber Security News cybersecuritynews.com
- Superblocks (vulnerability write-up) superblocks.com
- Gigazine gigazine.net
- Vibe App Scanner vibeappscanner.com
Citer ce dossier
Fuites de données dans des apps Lovable : 303 endpoints de 170 projets sans sécurité par ligne. AI Threat Watch, dossier lovable-rls-cve-2025-48757, 29 mai 2025. https://aithreat.io/fr/cases/lovable-rls-cve-2025-48757/
Lien permanent: https://aithreat.io/fr/cases/lovable-rls-cve-2025-48757/