Досье lovable-rls-cve-2025-48757Утечка модели и данныхШвеция
Приложения, созданные Lovable, допускают утечку пользовательских данных: 303 эндпоинта в 170 проектах без безопасности на уровне строк
Исследователь Мэтт Палмер обнаружил, что сгенерированные Lovable бэкенды Supabase поставлялись без работающей безопасности на уровне строк (RLS), позволяя любому читать или записывать таблицы; сканирование 1 645 приложений выявило 170 с раскрытыми электронными адресами, телефонами, платёжными данными и API-ключами.
ВысокаяАтака на ИИСтатус: Не устранёнПроверенное досье
Открыть на интерактивной картеЦитировать это досье
- Дата сообщения
- 29 мая 2025
- Локация
- Швеция
- Цель
- Приложения, сгенерированные AI-конструктором Lovable
- Критичность
- Высокая
- Инициатор
- Мэтт Палмер (исследователь); утечка вызвана настройками по умолчанию сгенерированного кода
- Тип субъекта
- Исследователи безопасности
- Сектор
- Технологии и вендоры ИИ
- Заявленные убытки
- Не заявлены
- CVE
- CVE-2025-48757
Что произошло
Исследователь Мэтт Палмер обнаружил, что сгенерированные Lovable бэкенды Supabase поставлялись без работающей безопасности на уровне строк (RLS), позволяя любому читать или записывать таблицы; сканирование 1 645 приложений выявило 170 с раскрытыми электронными адресами, телефонами, платёжными данными и API-ключами.
Последствия: 170 из 1 645 просканированных приложений (303 эндпоинта) раскрывали имена пользователей, электронные адреса, номера телефонов, статус подписки и платежей и API-ключи третьих сторон; публичный эксплойт, по сообщениям, раскрыл суммы задолженности и домашние адреса
Кто стоит за инцидентом
Субъект: Мэтт Палмер (исследователь); утечка вызвана настройками по умолчанию сгенерированного кода
Атрибуция: Обнаружено и раскрыто исследователем Мэттом Палмером; Lovable оспорила CVE, утверждая, что клиенты сами отвечают за защиту своих данных
Мотив: Исследование безопасности и скоординированное раскрытие
Как это произошло
Вектор атаки: Прямые запросы к REST-эндпоинтам Supabase с использованием публичного anon-ключа, встроенного в сгенерированные фронтенды, в обход отсутствующих или неэффективных политик RLS
Первопричина: Сгенерированные ИИ бэкенды по умолчанию не имели эффективной безопасности на уровне строк, а более поздний сканер Lovable проверял лишь наличие политики, а не то, блокирует ли она несанкционированный доступ
Хронология
- Палмер впервые замечает проблему на сайте, созданном с помощью Lovable
- Палмер сообщает Lovable об уязвимости с примерами proof-of-concept
- Инженер Palantir публично размещает эксплойт; Палмер открывает 45-дневное окно раскрытия
- Выходит Lovable 2.0 с функцией сканирования безопасности
- Опубликована CVE-2025-48757; Lovable помечает её как оспариваемую
Реагирование
Lovable добавила инструмент проверки безопасности и предупреждения об API-ключах, но оспорила CVE и не опубликовала разбор инцидента; исследователи раскритиковали сканер за ложное чувство безопасности
Текущий статус: Не устранён
Источники (открываются в новой вкладке)
- Superblocks superblocks.com
- SentinelOne CVE database sentinelone.com
- Cyber Security News cybersecuritynews.com
- Superblocks (vulnerability write-up) superblocks.com
- Gigazine gigazine.net
- Vibe App Scanner vibeappscanner.com
Цитировать это досье
Приложения, созданные Lovable, допускают утечку пользовательских данных: 303 эндпоинта в 170 проектах без безопасности на уровне строк. AI Threat Watch, досье lovable-rls-cve-2025-48757, 29 мая 2025. https://aithreat.io/ru/cases/lovable-rls-cve-2025-48757/
Постоянная ссылка: https://aithreat.io/ru/cases/lovable-rls-cve-2025-48757/