案例 lovable-pre-nov-2025-projects模型与数据泄露瑞典
研究员：免费Lovable账户可读取2025年11月前项目的源码、Supabase密钥和聊天记录
一名以weezerOSINT身份发帖的研究员披露，任何免费Lovable账户都能访问其他用户在2025年11月前创建项目的源代码、Supabase数据库凭据、AI聊天历史和已连接的客户数据。
高针对 AI 的攻击状态: 调查中已核实案例档案
- 报道日期
- 2026年4月20日
- 地点
- 瑞典
- 目标
- 2025年11月前创建的Lovable项目
- 严重程度
- 高
- 发起者
- weezerOSINT（研究员）
- 行为者类型
- 安全研究人员
- 已报告损失
- 未报告
- CVE
- 无
发生了什么
一名以weezerOSINT身份发帖的研究员披露，任何免费Lovable账户都能访问其他用户在2025年11月前创建项目的源代码、Supabase数据库凭据、AI聊天历史和已连接的客户数据。
影响: 2025年11月前每个项目的源代码、数据库凭据、提示历史和客户数据可能暴露；规模和利用情况未确认
谁发起了攻击
行为者: weezerOSINT（研究员）
归因: 研究员在X上公开披露，由BoldMetrics首席技术官Morgan Linton放大传播；报道时Lovable尚未回应
动机: 安全研究和公众警示
如何发生
攻击途径: 平台侧访问控制缺口允许跨账户读取项目资产
根本原因: 据报道该授权漏洞影响2025年11月平台变更前的所有项目；Lovable未确认
时间线
- 研究员在X上披露该暴露；Morgan Linton放大警告
- Bastion将这些说法与2025年RLS CVE和2026年2月事件一并总结
应对
未见Lovable对4月披露的声明报道；其首席信息安全官早前曾提及免费的发布前安全扫描
当前状态: 调查中
来源（在新标签页打开）
- Bastion bastion.tech
- Superblocks (background on 2025 CVE) superblocks.com
引用此案例
研究员：免费Lovable账户可读取2025年11月前项目的源码、Supabase密钥和聊天记录. AI Threat Watch, 案例 lovable-pre-nov-2025-projects, 2026年4月20日. https://aithreat.io/zh/cases/lovable-pre-nov-2025-projects/
永久链接: https://aithreat.io/zh/cases/lovable-pre-nov-2025-projects/