Krytyczny wyciek w Lovable: jak błąd IDOR wystawił kod źródłowy gigantów technologicznych
Infrastruktura techniczna platform AI, które mają demokratyzować programowanie, coraz częściej okazuje się kolosem na glinianych nogach. Najnowszy incydent dotyczący serwisu Lovable obnażył nie tylko braki w zabezpieczeniach samej platformy, ale przede wszystkim dysfunkcyjną komunikację na linii badacze bezpieczeństwa – integratorzy systemów Bug Bounty. Dzięki luce typu IDOR (Insecure Direct Object Reference) postronny badacz uzyskał dostęp do wrażliwej własności intelektualnej klientów platformy, w tym pracowników firm takich jak Uber, Spotify, Nvidia oraz Microsoft.
Anatomia wycieku: jak zniknęły bariery dostępu
Mechanizm ataku był porażająco prosty. Wykorzystana podatność IDOR pozwalała na wywoływanie funkcji API bez właściwej autoryzacji. Atakujący, posiadający jedynie darmowe konto, mógł odpytać system o projekty dowolnego użytkownika, a następnie pobrać ich pełny kod źródłowy, dane logowania do baz danych oraz historie czatów z modelem AI. Choć Lovable twierdzi, że problem wynikał z niefortunnego patchowania w 2026 roku, które przywróciło publiczny dostęp do kodu (usunięty rzekomo rok wcześniej), skala naruszenia jest kompromitująca dla serwisu aspirującego do obsługi profesjonalnego sektora tech.
Błędy w komunikacji i pozorny pośpiech
Kulisy zgłoszenia tej luki rzucają cień na funkcjonowanie HackerOne, platformy pośredniczącej w zgłaszaniu błędów. Choć informacja o zagrożeniu trafiła tam najpierw, zgłoszenie zostało zignorowane i oznaczone jako duplikat. Zdeterminowany badacz, po odczekaniu 48 dni bez reakcji ze strony operatora, zdecydował się na publiczne nagłośnienie sprawy w serwisie X (dawniej Twitter). Dopiero wizja wizerunkowej katastrofy zmusiła Lovable do działania.
Interesująca jest narracja samej firmy, która chwali się „załataniem dziury w dwie godziny”. Warto jednak zauważyć, że licznik ten ruszył dopiero w momencie publikacji postu hakera, a nie w chwili wpłynięcia pierwotnego raportu. Co więcej, próba bagatelizowania problemu sformułowaniem o „uwierzytelnionym użytkowniku” jest merytorycznym nadużyciem – w systemie z darmową rejestracją „uwierzytelnionym użytkownikiem” może być dowolny internauta celujący w kradzież własności intelektualnej.
Lekcja zaufania w erze narzędzi no-code
Obecnie Lovable deklaruje wdrożenie programów naprawczych, w tym szkolenia dla personelu HackerOne z zakresu dokumentacji i obsługi błędów specyficznych dla ich platformy. Incydent ten stanowi jednak bolesne przypomnienie, że powierzanie kodu źródłowego i wrażliwych parametrów połączeń z bazami danych platformom AI wiąże się z ogromnym ryzkiem. Gdy bariera wejścia do hakowania repozytoriów korporacyjnych gigantów sprowadza się do założenia bezpłatnego konta, trudno mówić o profesjonalnych standardach bezpieczeństwa, które powinny towarzyszyć nowoczesnym technologiom programistycznym.
