Досье lovable-pre-nov-2025-projectsУтечка модели и данных20 апр. 2026Швеция

Исследователь: бесплатный аккаунт Lovable мог читать исходный код, ключи Supabase и чаты проектов, созданных до ноября 2025 года

Исследователь под ником weezerOSINT раскрыл, что любой бесплатный аккаунт Lovable мог получить доступ к исходному коду других пользователей, учётным данным баз данных Supabase, историям ИИ-чатов и подключённым клиентским данным для проектов, созданных до ноября 2025 года.

ВысокаяАтака на ИИСтатус: РасследуетсяПроверенное досье

Открыть на интерактивной карте Цитировать это досье

Дата сообщения: 20 апр. 2026
Локация: Швеция
Цель: Проекты Lovable, созданные до ноября 2025 года
Критичность: Высокая
Инициатор: weezerOSINT (исследователь)
Тип субъекта: Исследователи безопасности
Сектор: Технологии и вендоры ИИ
Заявленные убытки: Не заявлены
CVE: Нет

Что произошло

Последствия: Потенциальное раскрытие исходного кода, учётных данных баз данных, историй промптов и клиентских данных каждого проекта, созданного до ноября 2025 года; масштаб и факт эксплуатации не подтверждены

Кто стоит за инцидентом

Субъект: weezerOSINT (исследователь)

Атрибуция: Публичное раскрытие исследователем в X, распространённое CTO BoldMetrics Morgan Linton; на момент публикации Lovable не ответила

Мотив: Исследование безопасности и публичное предупреждение

Как это произошло

Вектор атаки: Пробел в контроле доступа на стороне платформы, позволяющий межаккаунтное чтение ресурсов проектов

Первопричина: Заявленная уязвимость авторизации, затрагивающая все проекты до изменения платформы в ноябре 2025 года; не подтверждена Lovable

Хронология

20 апр. 2026Исследователь раскрывает проблему в X; Morgan Linton распространяет предупреждение
апр. 2026Bastion обобщает утверждения вместе с CVE 2025 года, связанной с RLS, и инцидентом февраля 2026 года

Реагирование

Заявления Lovable по апрельскому раскрытию не зафиксировано; ранее её CISO указывал на бесплатные проверки безопасности перед публикацией

Текущий статус: Расследуется

Источники (открываются в новой вкладке)

Bastion bastion.tech
Superblocks (background on 2025 CVE) superblocks.com

Цитировать это досье

Исследователь: бесплатный аккаунт Lovable мог читать исходный код, ключи Supabase и чаты проектов, созданных до ноября 2025 года. AI Threat Watch, досье lovable-pre-nov-2025-projects, 20 апр. 2026. https://aithreat.io/ru/cases/lovable-pre-nov-2025-projects/

Постоянная ссылка: https://aithreat.io/ru/cases/lovable-pre-nov-2025-projects/