數以萬計 Lovable 網站 一開頁就送出資料庫紀錄
據德國《商報》（Handelsblatt）報道，德國網絡安全公司 Crissy Field 檢查用 AI 建站平台 Lovable 製作的網站後發現，有 24,664 個網站在頁面載入時，已經把資料庫紀錄傳送給訪客，過程不需要登入。
Lovable 標榜用戶毋須懂得寫程式，只要用文字描述想要的功能，AI 就會生成整個網站或應用程式。這些應用程式的資料多數存放在雲端資料庫服務 Supabase 上。
Crissy Field 在報告中表示，研究人員再發出額外的唯讀請求，便能取得更多資料庫內容。報告列出的數字如下：
項目 | 數字 |
|---|---|
頁面載入即送出資料庫紀錄的網站 | 24,664 個 |
當中可讀到電郵地址的網站 | 7,403 個（約 30%） |
含電郵地址紀錄的資料表 | 10,560 個 |
單一服務商外洩的身份證明文件紀錄 | 超過 1,000 條 |
最嚴重個案涉及護照號碼
報告指，最嚴重的一個個案是一家服務供應商，外洩了超過 1,000 條載有身份證明文件資料的紀錄，包括護照號碼、證件到期日及國籍。Crissy Field 警告，這類高度敏感的身份資料可被用於盜用身份。
據《商報》報道，該報在 8 月中收到線報，核實問題後再向 Lovable 查詢。
Lovable：這是全行業的問題
Lovable 向《商報》表示，這個問題涉及整個行業，並非只限於 Lovable。根據 Lovable 的使用條款，客戶要自行為其應用程式及資料負責。
這不是 Lovable 第一次因資料庫權限出事。美國國家漏洞資料庫（NVD）在 2025 年 5 月 30 日收錄了漏洞 CVE-2025-48757，指 Lovable 生成的網站在 2025 年 4 月 15 日或之前，因為資料庫的「行級安全」（Row-Level Security，限制每個用戶只能讀寫屬於自己的資料列）政策不足，令未經認證的攻擊者可以讀取甚至寫入任意資料表。
當時 Lovable 對這個漏洞提出異議，理由與今次相同：每個使用 Lovable 平台的客戶，都已承擔保護其應用程式資料的責任。
暫時未有留言
提交留言即表示你已閱讀我們的私隱政策。