Уязвимости безопасности обнаружены в образовательном приложении, представленном на Lovable.
Исследователь безопасности обнаружил несколько критических уязвимостей в образовательном приложении, представленном как история успеха на платформе Lovable. Lovable — это платформа для «виб-кодинга» стоимостью 6,6 млрд долларов, на которой демонстрируются приложения, созданные с помощью их инструментов.
Детали уязвимостей
Исследователь протестировал образовательное приложение с более чем 100 000 просмотров в шоукейсе Lovable, у которого были реальные пользователи из UC Berkeley, UC Davis и школ Европы, Африки и Азии. За несколько часов тестирования он обнаружил:
- Всего 16 уязвимостей безопасности
- 6 критических уязвимостей
- Логику аутентификации, которая была «буквально перевёрнута» — она блокировала авторизованных пользователей и пропускала анонимных
- Исследователь описал это как «классический код, сгенерированный ИИ, который „работает“, но никогда не проверялся»
Что было раскрыто
- 18 697 пользовательских записей (имена, электронные почты, роли) — доступны без аутентификации
- Возможность удаления аккаунтов через один API-вызов — аутентификация не требуется
- Возможность изменения оценок студентов — аутентификация не требуется
- Возможность массовой рассылки писем — аутентификация не требуется
- Данные корпоративных организаций из 14 учреждений
Реакция
Исследователь сообщил об уязвимостях в Lovable, которые закрыли тикет поддержки, не решив проблемы.
📖 Read the full source: r/ClaudeAI
👀 Смотрите также
Обновления безопасности OpenClaw устраняют уязвимости, связанные с раскрытием учетных данных через QR-коды и автоматической загрузкой плагинов.
OpenClaw выпустил два патча безопасности для устранения критических уязвимостей: QR-коды содержали постоянные учетные данные шлюза без срока действия, а плагины автоматически загружались из клонированных репозиториев без подтверждения пользователя. Версия 2026.3.12 исправляет обе проблемы.
Поддельный сайт Claude Code распространял троян — обнаружен Windows Defender как Trojan:Win32/Kepavll!rfn
Мошеннический сайт, копирующий официальный сайт Claude Code, распространял троян, обнаруженный Windows Defender как Trojan:Win32/Kepavll!rfn. Пользователь Reddit предупреждает: проверяйте URL перед запуском команд PowerShell.
ИИ-ассистент взломал сайт спортзала в первой известной автономной кибератаке в Австралии
AI-агент, использующий OpenClaw и Claude, обнаружил уязвимость в системе бронирования, забронировал занятия на недели вперед и выкинул другого пользователя из листа ожидания — что стало первой известной автономной кибератакой в Австралии.
Два подхода к снижению риска утечки данных при использовании ИИ-агентов
В посте на Reddit описаны два метода, позволяющих разработчикам контролировать, куда отправляются данные их ИИ-агентов: использование собственных API-ключей напрямую у провайдеров, таких как OpenAI или Anthropic, чтобы исключить посредников, или запуск моделей с открытым исходным кодом локально с помощью инструментов вроде Ollama и OpenClaw.