Uit onderzoek naar ruim 159.000 Lovable-projecten blijkt dat veel apps die op het platform zijn gebouwd persoonsgegevens laten zien zonder dat je hoeft in te loggen. Het gaat onder meer om paspoortgegevens, betaalinformatie en chatberichten.
Volgens het onderzoek van het Duitse securitybedrijf Crissy Field ligt de oorzaak in slecht geconfigureerde Supabase-databases. De onderzoekers gebruikten datasets van het open webarchief Common Crawl en vonden zo 159.041 Lovable-projecten, gepubliceerd tussen december 2025 en september 2026. Daarvan maakten er 34.545 gebruik van de databasedienst Supabase.
Bij 24.664 websites kwamen al bij het laden records uit Supabase mee, zonder login of andere interactie. Dat hoeft geen probleem te zijn, want die data kan bedoeld zijn om openbaar te tonen. Maar met extra read-only verzoeken via dezelfde API-key kregen de onderzoekers meer databasecontent te zien. Bij 7.403 van die sites (30 procent) vonden ze in 10.560 tabellen records met e-mailadressen.
Dat percentage is volgens de onderzoekers geen bevestigd lekpercentage. E-mailadressen kunnen ook openbare contactadressen of testdata zijn. Tegelijkertijd worden persoonsgegevens zonder e-mailadres op deze manier niet gevonden. Ook is de steekproef niet representatief voor alle Lovable-apps.
Lovable zet beschrijvingen in gewone taal om naar werkende webapplicaties en richt zich op mensen zonder programmeerervaring.
Van paspoortnummers tot WhatsApp-berichten
Een Duits lifestyleforum lekte meer dan 80.000 profielen met volledige namen, e-mailadressen, geboortedata en geslacht, plus ruim 200.000 chatberichten. Eventorganisatoren en restaurants stelden tienduizenden records van ticket- en maaltijdverkopen bloot, met onder meer telefoonnummers, adressen, betaalgegevens en ticketcodes.
Het ernstigste geval? Een dienstverlener lekte meer dan 1.000 records met identiteitsgegevens, waaronder paspoortnummers, vervaldata en nationaliteiten. Daarnaast vonden de onderzoekers contracten, facturen, fotoalbums, interne WhatsApp-communicatie en bij één aanbieder 280.000 verstuurde klantmails. Of de data ook echt is misbruikt, kon niet worden vastgesteld.
Volgens de onderzoekers volgen de database-integraties bij Lovable steeds dezelfde patronen. Een aanval die bij één app werkt, werkt daardoor met weinig extra moeite ook bij andere apps. Zij raden aan om toegangsrechten, interfaces en de scheiding tussen gebruikersaccounts door experts te laten controleren voordat een app met echte klantdata werkt. Lovables eigen databasefuncties, die sinds eind 2025 beschikbaar zijn, vielen buiten het onderzoek.