Aplikacionet e ndërtuara me AI shpesh kanë dobësi në kontrollin e aksesit, ekspozimin e çelësave sekretë dhe besimin te shfletuesi. Shkrimi, i botuar fillimisht në muhammadmoiz.dev, u drejtohet krijuesve dhe zhvilluesve të projekteve me Lovable, Bolt, Replit, Cursor ose v0.
Sipas analizës, problemi nuk janë vetë mjetet, por arkitektura që gjenerojnë zakonisht: një ndërfaqe React që komunikon drejtpërdrejt me Supabase ose Firebase. Pa kontrolle të vendosura në bazën e të dhënave, rregullat në shfletues nuk mjaftojnë për të mbrojtur informacionin.
CVE-2025-48757, publikuar më 30 maj 2025, përshkruan Row Level Security (RLS) të pamjaftueshme në faqe të gjeneruara nga Lovable deri më 15 prill 2025. Sipas regjistrimit, sulmues pa autentikim mund të lexonin ose shkruanin në tabela arbitrare. Dobësia ka vlerësim kritik CVSS 3.1 prej 9.3. Lovable e kundërshton regjistrimin dhe thotë se mbrojtja e të dhënave është përgjegjësi e çdo klienti.
Teksti veçon RLS të çaktivizuar ose politika që lejojnë akses pa verifikuar pronësinë e rreshtave. Ai paralajmëron edhe për çelësin sekret të Supabase, më parë service_role, i cili anashkalon çdo politikë RLS: ky çelës duhet të mbahet në server, në një Edge Function ose në një detyrë të planifikuar, jo në kodin e ndërfaqes apo në Git.
Burimi: DEV Community (Web Dev Feed) — lexoni artikullin e plotë në anglisht.
