Vulnérabilités de sécurité exposées dans l'application EdTech présentée par Lovable

Un chercheur en sécurité a découvert de multiples vulnérabilités critiques dans une application EdTech présentée comme un succès sur la plateforme Lovable. Lovable est une plateforme de "vibe coding" valorisée à 6,6 milliards de dollars qui met en avant des applications construites avec ses outils.

Détails des vulnérabilités

Le chercheur a testé une application EdTech avec plus de 100 000 vues sur la vitrine de Lovable, utilisée par de vrais utilisateurs de UC Berkeley, UC Davis et d'écoles à travers l'Europe, l'Afrique et l'Asie. En quelques heures de test, il a trouvé :

• 16 vulnérabilités de sécurité au total
• 6 vulnérabilités critiques
• Une logique d'authentification "littéralement inversée" — elle bloquait les utilisateurs connectés et laissait passer les anonymes
• Le chercheur a décrit cela comme "du code généré par IA classique qui 'fonctionne' mais n'a jamais été revu"

Ce qui a été exposé

• 18 697 enregistrements d'utilisateurs (noms, emails, rôles) — accessibles sans authentification
• Suppression de compte via un simple appel API — aucune authentification requise
• Notes d'étudiants modifiables — aucune authentification requise
• Capacité d'envoi d'emails en masse — aucune authentification requise
• Données d'organisations d'entreprise de 14 institutions

Réponse

Le chercheur a signalé les vulnérabilités à Lovable, qui a fermé le ticket de support sans traiter les problèmes.