Vulnerabilidades de segurança expostas em aplicativo EdTech apresentado pela Lovable
Um pesquisador de segurança descobriu múltiplas vulnerabilidades críticas em um aplicativo EdTech apresentado como um caso de sucesso na plataforma Lovable. Lovable é uma plataforma de "vibe coding" de US$ 6,6 bilhões que exibe aplicativos construídos com suas ferramentas.
Detalhes das Vulnerabilidades
O pesquisador testou um aplicativo EdTech com mais de 100 mil visualizações na vitrine da Lovable que tinha usuários reais da UC Berkeley, UC Davis e escolas da Europa, África e Ásia. Em poucas horas de testes, ele encontrou:
- 16 vulnerabilidades de segurança no total
- 6 vulnerabilidades críticas
- Lógica de autenticação que estava "literalmente invertida" — bloqueava usuários logados e permitia acesso a usuários anônimos
- O pesquisador descreveu isso como "código gerado por IA clássico que 'funciona' mas nunca foi revisado"
O Que Foi Exposto
- 18.697 registros de usuários (nomes, e-mails, funções) — acessíveis sem autenticação
- Exclusão de contas via uma única chamada de API — sem necessidade de autenticação
- Notas de alunos modificáveis — sem necessidade de autenticação
- Capacidade de envio de e-mails em massa — sem necessidade de autenticação
- Dados de organizações empresariais de 14 instituições
Resposta
O pesquisador reportou as vulnerabilidades à Lovable, que fechou o ticket de suporte sem resolver os problemas.
📖 Leia a fonte completa: r/ClaudeAI
👀 See Also
Usar o Claude para auditar a configuração do OpenClaw revela problemas de segurança
Um desenvolvedor usou o Claude para revisar sua instalação do OpenClaw e descobriu que o bot estava escrevendo chaves de API em texto claro na memória e em arquivos JSON, além de outras preocupações de segurança.
Relatório Independente sobre Conclusões de Confiabilidade e Segurança do Servidor MCP
Uma análise independente de 2.181 endpoints de servidores MCP revela que 52% estão inativos, 300 não possuem nenhuma autenticação e 51% têm configurações CORS totalmente abertas. O relatório inclui metodologia e uma ferramenta de teste.
KnightClaw: Extensão de Segurança Local para Agentes OpenClaw
KnightClaw é uma extensão plug-and-play que intercepta mensagens antes que elas cheguem aos agentes OpenClaw, fornecendo um sistema de detecção híbrido de 8 camadas e redação de saída. Ele roda completamente localmente, sem telemetria, e é licenciado sob MIT.
Instâncias não seguras do Paperclip expondo painéis ao vivo via Pesquisa Google
Um usuário do Reddit descobriu um painel do Paperclip em funcionamento com dados organizacionais completos indexados pelo Google após pesquisar por um erro. A instância estava publicamente exposta sem autenticação, revelando organogramas, conversas de agentes, atribuições de tarefas e planos de negócios.