アプリ生成「Lovable」に脆弱性 - 生成プロジェクトに影響
アプリ生成プラットフォーム「Lovable」にデータの漏洩や改ざんのおそれがある脆弱性が明らかとなった。
デプロイ済みのLovable生成プロジェクトにおいて「Row Level Security(RLS)」の初期設定が不十分なことに起因する脆弱性「CVE-2025-48757」が明らかとなったもの。
ポリシーが不在、あるいは設定が不十分なデータベースのテーブルに対し、リモートよりREST API経由で細工したリクエストを送信することで、認証なしにデータへアクセスでき、データの漏洩や改ざんのおそれがある。
共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.3」と評価されており、重要度は「クリティカル(Critical)」とレーティングされている。
6月9日の時点で脆弱性の修正状況などは不明。発見者は、2025年4月15日以前に作成され、バックエンドとして外部データベースを使用するすべてのプロジェクトに影響すると指摘。以降のプロジェクトも影響を受ける可能性があるとしている。
発見者は、影響を受ける全てのプロジェクト管理者に対し、手動によるRLSポリシーの確認と強化を呼びかけている。
(Security NEXT - 2025/06/09 )
ツイート
関連リンク
PR
関連記事
中国複数グループが「ToolShell」攻撃を展開 - 攻撃拡大に懸念
SonicWall「SMA 100」にバックドア、ゼロデイ攻撃か - 侵害調査の実施を
SonicWall「SMA 100」に脆弱性 - Googleが報告した攻撃との関連不明
マルチパートフォームデータを生成するnpmパッケージに脆弱性
「Chrome」のスクリプトエンジンに複数脆弱性 - アップデート公開
「CrushFTP」脆弱性、すでに被害も - 開示過程でトラブル
「SharePoint」「FortiWeb」の脆弱性悪用に警告 - 即日対応の緊急要請も
「Sophos Firewall」に複数の「クリティカル」脆弱性 - 対象機器は1%未満
「SharePoint Server」に深刻な脆弱性「ToolShell」 - すでに悪用も
セキュリティ管理ツール「Juniper Security Director」に脆弱性