Lovable ile yapılan 24.664 sitede veritabanı kayıtları giriş yapmadan açık: Crissy Field analizinde pasaport bilgileri ve 200 bini aşkın sohbet mesajı
Hamburg merkezli Crissy Field, Handelsblatt ile birlikte vibe coding platformu Lovable'da yapılan 159.041 projeyi inceledi. Supabase kullanan sitelerin 24.664'ünün sayfa açılırken oturum açmadan veritabanı kaydı gönderdiğini, sorunun erişim denetimi hatalarından kaynaklandığını bildirdi.
AI ile uygulama ürettiren vibe coding platformlarının güvenlik bedeli bu kez rakamlarla ortaya kondu. Hamburg merkezli güvenlik şirketi Crissy Field, Alman iş gazetesi Handelsblatt ile birlikte yürüttüğü analizde, Lovable üzerinde yapılan sitelerin önemli bir kısmının veritabanı kayıtlarını ziyaretçiye giriş istemeden gönderdiğini bildirdi. Konu bugün Hacker News ön sayfasına da çıktı.
Ne bulundu?
Araştırmacılar, Common Crawl verisinden Aralık 2025 ile Eylül 2026 arasında yayımlanmış 159.041 Lovable projesi belirledi. Bunların 34.545'i veritabanı olarak Supabase kullanıyordu ve analiz bu gruba odaklandı. Rapora göre:
- 24.664 site, sayfa yüklenirken oturum açılmadan Supabase kayıtları gönderiyordu.
- 7.403 sitede toplam 10.560 tablo e-posta adresi içeren kayıtlar barındırıyordu. Crissy Field, bu yüzde 30'luk oranın "doğrulanmış sızıntı oranı" olarak okunmaması gerektiğini özellikle not ediyor.
- Tekil örneklerde bir Alman yaşam tarzı forumunda 80.000'i aşkın profil ve 200.000'den fazla sohbet mesajı, pasaport numarası dahil 1.000'den fazla kimlik belgesi kaydı, bir sağlayıcının müşterilerine gönderdiği 280.000 e-posta, on binlerce bilet ve yemek satışı kaydı, sözleşme ve fatura gibi veriler erişilebilir durumdaydı.
Rapor, kök nedeni yalnızca genel hatlarıyla anlatıyor: Supabase entegrasyonlarında tekrar eden kalıplar izleyen erişim denetimi hataları ve yanlış yapılandırmalar. Ayrıntılı teknik yol paylaşılmıyor; SiberMagazin de verilere erişmedi, sitelerin bugünkü durumunu doğrulamadı. İlk bulgular Handelsblatt'ta 2 Kasım'da yayımlanmıştı; Crissy Field güncel sayfanın daha yeni rakamlar içerdiğini belirtiyor. Handelsblatt'ın bulguları Lovable'a ilettiği yazıyor, ancak raporda Lovable'ın yanıtı ve sorunların giderilip giderilmediği yer almıyor.
Neden önemli?
Platformun kendisinde bir açık bildirilmiyor; sorun, AI'ın ürettiği uygulamanın veritabanı izinlerinin kimse tarafından gözden geçirilmeden canlıya alınması. Hızlı prototip için tasarlanan araçlar gerçek müşteri verisi toplayan ürünlere dönüştüğünde, erişim kuralları da ürünün parçası haline geliyor. Benzer bir risk sitede daha önce vibe coding uygulamalarını yayına alma platformları haberinde de gündeme gelmişti.
Ne yapılmalı?
- Lovable ya da benzeri bir araçla yapılmış ve gerçek kullanıcı verisi tutan bir uygulamanız varsa, Supabase panelinde her tablonun erişim kurallarını tek tek gözden geçirin; anonim kullanıcının hangi tabloları okuyabildiğini kontrol edin.
- Kullanıcı hesapları arasındaki ayrımı test edin: bir hesabın başka bir hesabın kayıtlarını görüp göremediğine, değişikliklerden sonra yeniden bakın.
- Crissy Field'ın da vurguladığı gibi otomatik taramalar uzman incelemesinin yerini tutmaz; kişisel veri işleyen uygulamalarda yayın öncesi bağımsız bir güvenlik değerlendirmesi planlayın.
- Kişisel veri içeren bir tablonun herkese açık kaldığını fark ederseniz KVKK ya da ilgili veri koruma kurumuna bildirim yükümlülüğünüzü hukuk ekibinizle değerlendirin.
