מחקר: אלפי אפליקציות שנבנו ב-Lovable חושפות נתוני לקוחות בלי שום סיסמה

חברת האבטחה הגרמנית Crissy Field בדקה 159,041 פרויקטים שנבנו בפלטפורמת Lovable, ומצאה אלפי אפליקציות שמוסרות מידע רגיש לכל מי שמבקש. בין הנתונים החשופים: פרטי דרכון, הזמנות עם פרטי תשלום והודעות צ'אט פרטיות. החוקרים לא פרצו לשום מערכת. הם השתמשו רק בגישה שהאתרים עצמם נותנים לכל גולש.

מה מצאו החוקרים באפליקציות של Lovable

Lovable היא סטארט-אפ שוודי שהפך לסמל של vibe coding. כותבים בשפה פשוטה מה רוצים, וה-AI בונה אפליקציית ווב שלמה. ברוב המקרים הפלטפורמה שומרת את הנתונים של האפליקציה בשירות מסדי הנתונים Supabase.

לפי הדוח של Crissy Field, החוקרים איתרו את הפרויקטים דרך הארכיון הפתוח Common Crawl. הם בדקו פרויקטים מדצמבר 2025 עד ספטמבר 2026. ב-34,545 מהם נמצא חיבור ל-Supabase. 24,664 אתרים שלחו רשומות ממסד הנתונים כבר בטעינת העמוד, בלי התחברות.

זה לבד עוד לא בעיה, כי חלק מהמידע נועד להיות ציבורי. אבל בבקשות קריאה נוספות, עם אותו מפתח שהעמוד מוסר לדפדפן, החוקרים שלפו מידע רב. ב-7,403 אתרים הם מצאו טבלאות עם כתובות מייל. אלה כ-30% מהאתרים שבדקו לעומק.

הדוגמאות קשות. ספק שירות אחד חשף מעל 1,000 רשומות עם מספרי דרכון, תוקף ולאום. פורום לייף-סטייל גרמני חשף מעל 80 אלף פרופילים ויותר מ-200 אלף הודעות צ'אט. מארגני אירועים ומסעדות חשפו עשרות אלפי הזמנות, עם טלפונים, כתובות, פרטי תשלום וקודי כרטיסים. נמצאו גם חוזים, חשבוניות ותכתובות WhatsApp פנימיות.

למה זה קורה דווקא ב-vibe coding

שורש הבעיה הוא הגדרה בשם Row Level Security, או RLS. זה מנגנון ב-Supabase שקובע איזה משתמש רשאי לקרוא איזו שורה בטבלה. כשהכלל חסר, כל מי שמחזיק במפתח הציבורי של האפליקציה יכול לקרוא הכול. והמפתח הזה גלוי בקוד של כל עמוד.

מפתח מנוסה יודע לבדוק את זה לפני העלייה לאוויר. בעל עסק שבנה אפליקציה בשיחה עם בוט לא תמיד יודע שהבדיקה בכלל קיימת. החוקרים מציינים שהשיווק של Lovable מדגיש שאין צורך בידע טכני. לעומת זאת, תנאי השימוש שלה מטילים את האחריות על אבטחת המידע על הלקוח.

יש כאן גם בעיה של קנה מידה. אפליקציות שנבנות באותה פלטפורמה דומות זו לזו. לכן, לדברי החוקרים, תוקף שמצא דרך לקרוא נתונים מאפליקציה אחת יכול לנסות אותה מול אלפי אפליקציות אחרות כמעט בלי מאמץ.

לפי Cybernews, החברה טוענת שמדובר בבעיית הגדרות מוכרת, שפוגעת במשתמשי Supabase בכלל. מחקר מוקדם של UpGuard אכן מצא טבלאות קריאות מבחוץ ב-16,326 מסדי נתונים של Supabase. Crissy Field מדגישה שהמדגם שלה לא מייצג את כל אפליקציות Lovable. היא גם לא יכלה לקבוע אם מישהו כבר ניצל את המידע.

עוד ב-GEEKLIK: Irregular: סיסמאות שבוט AI יוצר נראות חזקות, אבל הן צפויות

מה הלאה עבור Lovable ו-Supabase

Lovable מדווחת על יותר מ-50 מיליון פרויקטים ועל 1.2 מיליון פרויקטים חדשים בכל שבוע. גם אחוז קטן של אפליקציות פתוחות הוא כמות גדולה של אנשים חשופים. כדאי לעקוב אחרי הצעדים שהפלטפורמות יציגו, למשל אזהרות אוטומטיות או חסימה של העלאה לאוויר בלי RLS. עד אז, האחריות נשארת אצל מי שבנה את האפליקציה.