アプリ生成「Lovable」に脆弱性 - 生成プロジェクトに影響

アプリ生成プラットフォーム「Lovable」にデータの漏洩や改ざんのおそれがある脆弱性が明らかとなった。

デプロイ済みのLovable生成プロジェクトにおいて「Row Level Security（RLS）」の初期設定が不十分なことに起因する脆弱性「CVE-2025-48757」が明らかとなったもの。

ポリシーが不在、あるいは設定が不十分なデータベースのテーブルに対し、リモートよりREST API経由で細工したリクエストを送信することで、認証なしにデータへアクセスでき、データの漏洩や改ざんのおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.3」と評価されており、重要度は「クリティカル（Critical）」とレーティングされている。

6月9日の時点で脆弱性の修正状況などは不明。発見者は、2025年4月15日以前に作成され、バックエンドとして外部データベースを使用するすべてのプロジェクトに影響すると指摘。以降のプロジェクトも影響を受ける可能性があるとしている。

発見者は、影響を受ける全てのプロジェクト管理者に対し、手動によるRLSポリシーの確認と強化を呼びかけている。

（Security NEXT - 2025/06/09 ）ツイート