사랑스러운 데모용 에듀테크 앱에서 노출된 보안 취약점

보안 연구원이 Lovable 플랫폼에서 성공 사례로 소개된 교육 기술(EdTech) 애플리케이션에서 여러 치명적인 취약점을 발견했습니다. Lovable은 자체 도구로 구축된 앱을 선보이는 66억 달러 규모의 '바이브 코딩' 플랫폼입니다.

취약점 상세 정보

연구원은 Lovable 쇼케이스에서 10만 회 이상 조회된 EdTech 앱을 테스트했으며, 이 앱은 UC 버클리, UC 데이비스 및 유럽, 아프리카, 아시아 전역 학교의 실제 사용자를 보유하고 있었습니다. 몇 시간 동안의 테스트에서 다음과 같은 결과가 발견되었습니다:

• 총 16개의 보안 취약점
• 6개의 치명적 취약점
• "말 그대로 뒤집힌" 인증 논리 — 로그인한 사용자는 차단하고 익명 사용자는 허용
• 연구원은 이를 "작동은 하지만 검토되지 않은 전형적인 AI 생성 코드"라고 설명

노출된 정보

• 18,697개의 사용자 기록(이름, 이메일, 역할) — 인증 없이 접근 가능
• 단일 API 호출로 계정 삭제 가능 — 인증 불필요
• 학생 성적 수정 가능 — 인증 불필요
• 대량 이메일 발송 기능 — 인증 불필요
• 14개 기관의 기업 조직 데이터

대응

연구원이 취약점을 Lovable에 보고했으나, Lovable은 문제를 해결하지 않고 지원 티켓을 닫았습니다.