Vulnerabilidades de segurança expostas em aplicativo EdTech apresentado pela Lovable
Um pesquisador de segurança descobriu múltiplas vulnerabilidades críticas em um aplicativo EdTech apresentado como um caso de sucesso na plataforma Lovable. Lovable é uma plataforma de "vibe coding" de US$ 6,6 bilhões que exibe aplicativos construídos com suas ferramentas.
Detalhes das Vulnerabilidades
O pesquisador testou um aplicativo EdTech com mais de 100 mil visualizações na vitrine da Lovable que tinha usuários reais da UC Berkeley, UC Davis e escolas da Europa, África e Ásia. Em poucas horas de testes, ele encontrou:
- 16 vulnerabilidades de segurança no total
- 6 vulnerabilidades críticas
- Lógica de autenticação que estava "literalmente invertida" — bloqueava usuários logados e permitia acesso a usuários anônimos
- O pesquisador descreveu isso como "código gerado por IA clássico que 'funciona' mas nunca foi revisado"
O Que Foi Exposto
- 18.697 registros de usuários (nomes, e-mails, funções) — acessíveis sem autenticação
- Exclusão de contas via uma única chamada de API — sem necessidade de autenticação
- Notas de alunos modificáveis — sem necessidade de autenticação
- Capacidade de envio de e-mails em massa — sem necessidade de autenticação
- Dados de organizações empresariais de 14 instituições
Resposta
O pesquisador reportou as vulnerabilidades à Lovable, que fechou o ticket de suporte sem resolver os problemas.
📖 Leia a fonte completa: r/ClaudeAI
👀 See Also
mcp-scan: Scanner de segurança para configurações de servidor MCP
mcp-scan verifica configurações de servidores MCP para problemas de segurança, incluindo segredos em arquivos de configuração, vulnerabilidades conhecidas em pacotes, padrões de permissão suspeitos, vetores de exfiltração e ataques de envenenamento de ferramentas. Ele detecta automaticamente configurações para Claude Desktop, Cursor, VS Code, Windsurf e 6 outros clientes de IA.
Dados de ameaça de 91 mil interações com agentes de IA: abuso de ferramentas aumentou 6,4%, novos ataques multimodais
Análise de 91.284 interações de agentes de IA de fevereiro de 2026 mostra que o abuso de ferramentas/comandos aumentou 6,4% para 14,5%, com a escalada da cadeia de ferramentas como o padrão dominante. O envenenamento de RAG mudou para ataques de metadados (12,0%), e a injeção multimodal via imagens/PDFs surgiu em 2,3%.
Estudante contribui com dois patches de segurança para o sistema de produção OpenClaw
Um desenvolvedor estudante corrigiu uma vulnerabilidade 'fail-open' na lógica do gateway do OpenClaw (PR #29198) e uma vulnerabilidade de tabnabbing em imagens de chat (PR #18685), com ambos os patches sendo implementados nas versões de produção v2026.3.1 e v2026.2.24, respectivamente.
Ferramentas de IA de Código Aberto Apresentam Riscos de Segurança Devido à 'Segurança Ilusória Através da Transparência'
Uma postagem no Reddit alerta sobre malware disfarçado como agentes e ferramentas de IA de código aberto, onde código malicioso pode estar escondido em grandes bases de código que os usuários assumem ser seguras porque estão no GitHub. A postagem descreve como o 'vibe-coding' e os agentes de IA autônomos condicionam os usuários a executar programas desconhecidos sem revisão.