24 664 Lovable-appar svarade främlingar utan inloggning

Vad genomsökningen hittade

En fastighetsförvaltare bad ett AI-verktyg om en app som sammanfattar inkorgen, och appen den fick publicerade sammanfattningarna, hyresgästuppgifter inräknade, för alla som öppnade rätt adress. Företaget är ett av fallen som det tyska säkerhetsföretaget Crissy Field beskrev den här veckan. Det hämtade 159 041 projekt byggda på Lovable, den svenska plattformen för vibe coding från Stockholm, ur arkivet Common Crawl och frågade varje databas vad den skulle lämna ut till en främling.

Evenemangsarrangörer och restauranger visade beställningar och biljetter med telefonnummer, postadresser, betaluppgifter och biljettkoder. Andra tabeller innehöll avtal, fakturor, fotoalbum och interna WhatsApp-meddelanden. Resultaten publicerades först i den tyska affärstidningen Handelsblatt.

Ingen bröt sig in

Inget av detta krävde en attack, eftersom apparna gav ut datan till varje besökare genom sin konstruktion. Forskarna använde bara läsfrågor och samma publika nyckel som varje sida lämnar till webbläsaren. Det som saknades var Row Level Security, den inställning i Supabase som avgör vilka rader en besökare får läsa. Utan den öppnar den publika nyckeln hela tabellen.

Lovable svarade forskarna att det handlar om ett känt konfigurationsproblem i hela branschen när Supabase används, och siffrorna stöder den delen. I september testade UpGuard ungefär 300 000 domäner med tecken på Supabase och hittade 16 326 databaser med läsbara tabeller, mer än hälften med tecken på personuppgifter. Enligt UpGuard var den gemensamma nämnaren att AI-kodagenter hade byggt sajterna och att de som drev dem inte kände till konfigurationen.

Vår läsning är att säkerhetsbeslutet har flyttat. Förr låg det hos en utvecklare som valde databasens regler. Nu ligger det hos den som skriver prompten, och båda leverantörerna säger att konfigurationen är kundens sak. Lovable uppger mer än 50 miljoner byggda projekt och 1,2 miljoner nya i veckan. Väldigt många bär alltså ett beslut de inte vet att de har fattat.

Varför det spelar roll enligt GDPR

Företaget som publicerar en app bestämmer ändamål och medel för behandlingen och är därmed personuppgiftsansvarigt enligt GDPR, oavsett vem som skrev koden. Lovable och Supabase levererar verktygen. Ett säljteam som byggt ett leadformulär, eller en kontorschef med ett eget bokningsverktyg, har satt företagets namn på databasen bakom.

En öppen tabell med personuppgifter är en sekretessincident som den ansvarige måste bedöma. Är det sannolikt att den innebär en risk för de registrerade ger artikel 33 72 timmar från det att man fått kännedom om den att anmäla den till IMY. Forskarna läste bara det som erbjöds dem. Om någon annan gjorde det kan bara era egna loggar besvara, och många snabbt byggda appar för inga loggar som förtjänar namnet.

Vad ni gör den här veckan

Börja med en inventering, för de mest utsatta apparna är de som IT aldrig har godkänt. Fråga varje team vilka verktyg det har byggt med Lovable, Bolt, Replit eller liknande tjänster och vilka av dem som samlar in kund- eller personaldata.

Kontrollera för varje projekt på Supabase att Row Level Security är påslaget för varje tabell med personuppgifter och att en policy begränsar varje rad till de personer som ska se den. Supabases egen säkerhetsrådgivare flaggar tabeller utan skyddet. Att gömma den publika nyckeln hjälper inte, eftersom den är tänkt att vara publik. Skyddet måste komma från policyerna.

Gör sedan en granskning till ett villkor för att gå live med allt som rör kunddata. Crissy Field säger det rakt ut: en enkel utvecklingsplattform tar inte bort behovet av en sakkunnig granskning av åtkomsträttigheter innan en app hanterar konfidentiella uppgifter.

Läs vidare: Ett äkta myndighetsmejl läckte Revoluts data  |  Ditt Körkortsfoto Låg Ett År På Deras Server