アプリ生成「Lovable」に脆弱性 - 生成プロジェクトに影響
アプリ生成プラットフォーム「Lovable」にデータの漏洩や改ざんのおそれがある脆弱性が明らかとなった。
デプロイ済みのLovable生成プロジェクトにおいて「Row Level Security(RLS)」の初期設定が不十分なことに起因する脆弱性「CVE-2025-48757」が明らかとなったもの。
ポリシーが不在、あるいは設定が不十分なデータベースのテーブルに対し、リモートよりREST API経由で細工したリクエストを送信することで、認証なしにデータへアクセスでき、データの漏洩や改ざんのおそれがある。
共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.3」と評価されており、重要度は「クリティカル(Critical)」とレーティングされている。
6月9日の時点で脆弱性の修正状況などは不明。発見者は、2025年4月15日以前に作成され、バックエンドとして外部データベースを使用するすべてのプロジェクトに影響すると指摘。以降のプロジェクトも影響を受ける可能性があるとしている。
発見者は、影響を受ける全てのプロジェクト管理者に対し、手動によるRLSポリシーの確認と強化を呼びかけている。
(Security NEXT - 2025/06/09 )
ツイート
関連リンク
PR
関連記事
「Veeam Backup & Replication」に深刻な脆弱性 - アップデートで修正
「IBM Backup, Recovery and Media Services for i」に権限昇格の脆弱性
米当局、Linuxカーネルの脆弱性悪用に注意喚起
「Chrome」にアップデート - 3件のセキュリティ修正
「NetScaler ADC」「同Gateway」に深刻な脆弱性 - 早急に対応を
Trend Micro「Apex Central」に深刻な脆弱性 - 修正パッチをリリース
Apple製品の脆弱性に攻撃 - 2〜3月に修正済みも情報公開は6月
インフラアクセス制御基盤「Teleport」に認証回避の脆弱性
XML処理ライブラリ「libxml2」に複数の脆弱性
「MS Edge」にセキュリティアップデート - 脆弱性2件を解消