Lovable치명
Lovable, 무료 계정으로 타인 소스코드·DB 크레덴셜 열람 (BOLA)
노출 규모 · 대학 앱 18,697건(미성년 4,538명 포함)
객체 수준 권한(BOLA) 결함으로 아무 무료 계정이나 다른 사용자의 소스코드, Supabase DB 자격증명, Stripe 고객 ID, AI 대화 이력에 접근할 수 있었다. 제보 후 48일간 방치됐다.
State of Surveillance사고 아카이브
바이브코딩이 실제로 털린 사례들
AI로 빠르게 만든 앱에서 벌어진 실제 데이터 유출·보안 사고를 시간순으로 기록합니다. 남 얘기가 아니라, 같은 도구·같은 실수가 반복되고 있습니다.
기록된 사고 4
치명 등급 3
다수 (조사)높음
바이브코딩 앱 1,072개 스캔 결과 98%에서 보안 결함 발견
노출 규모 · 1,072개 앱 중 98% 결함
보안 업체가 AI로 만든 앱 1,072개를 점검한 결과 98%에서 취약점이 발견됐다. 인증·권한, 데이터 노출이 주를 이뤘다.
Symbiotic Security클라우드 스토리지 오설정치명
Tea 앱, 스토리지 버킷 오설정으로 신분증·셀카 7.2만 장 유출
노출 규모 · 이미지 72,000장 + 비공개 메시지 110만 건+
여성 안전 데이팅 앱 Tea가 레거시 클라우드 스토리지를 공개로 방치해, 본인인증용 정부 신분증과 셀카가 4chan에 유출됐다. 며칠 뒤 별도 DB에서 100만 건 이상의 사적 메시지도 노출됐다.
TechCrunchLovable · Supabase치명
Lovable 플랫폼이 RLS 없는 Supabase DB를 양산 (CVE-2025-48757)
노출 규모 · 170개 이상 프로덕션 앱 노출
플랫폼이 행 수준 보안(RLS) 없이 데이터베이스를 생성해, 브라우저에 노출된 anon 키만으로 회원 데이터가 조회됐다. CVSS 9.3.
Let's Data Science