ثغرة في واجهة برمجة التطبيقات Lovable تسمح بالوصول غير المصرح به إلى شفرة المصدر وسجلات دردشة الذكاء الاصطناعي

أخبار ME، في 21 أبريل (UTC+8)، وفقًا لمراقبة Beating، كشف باحث أمني @weezerOSINT على منصة X أن منصة بناء تطبيقات الذكاء الاصطناعي Lovable تعاني من ثغرة في فقدان التفويض على مستوى الكائن (BOLA)، حيث يمكن لأي حساب مجاني من خلال استدعاء واجهة برمجة التطبيقات قراءة غير مصرح بها لشفرة المصدر وبيانات اعتماد قاعدة البيانات وسجلات المحادثات الذكية الاصطناعية الخاصة بمشاريع الآخرين. وقد تم الإبلاغ عن هذه الثغرة عبر HackerOne في 3 مارس 2026 (رقم التقرير #3583821)، ولم يتم إصلاحها حتى الآن بعد 48 يومًا. أثناء العرض التوضيحي، تمكن الباحث من الوصول إلى مشروع منظمة غير ربحية دنماركية تسمى Connected Women in AI، وحصل على شفرة المصدر الكاملة لواجهة الإدارة الخاصة بها، وقرأ محادثة بين المطورين وLovable AI حول هيكل جداول قاعدة البيانات، والتي تضمنت حقول مثل email وfirst_name وlast_name. وعند إجراء اختبار مقارن، وجد أن المشاريع التي تم إنشاؤها في أبريل 2026 عادت برمز 403 Forbidden، بينما عادت المشاريع القديمة التي كان المطور لا يزال يحررها قبل 10 أيام برمز 200 OK مرفقة بشجرة ملفات المصدر الكاملة، مما يثبت أن Lovable أصلحت التحقق من الصلاحيات فقط للمشاريع الجديدة ولم تُصلح المشاريع القائمة. في البداية، وصفت Lovable هذه الثغرة بأنها "تصميم مقصود" و"وصف غير واضح في الوثائق"، لكنها لاحقًا اعترفت بالخطأ، مشيرة إلى أنه أثناء توحيد صلاحيات الخادم الخلفي في فبراير 2026، تم إعادة فتح الوصول إلى محادثات المشاريع العامة عن طريق الخطأ، ونسبت المسؤولية إلى قسم تصنيف HackerOne، قائلةً إنهم اعتبروا أن "إمكانية عرض محادثات المشاريع العامة" سلوكًا متوقعًا، وبالتالي أغلقوا التقرير. تدّعي Lovable أن قيمتها السوقية تبلغ 66 مليار دولار، وتشمل عملائها Uber وZendesk وDeutsche Telekom. (المصدر: BlockBeats)