Scanne deine Lovable-App, bevor sie leckt.
Lovable liefert schnell funktionierende Apps, und liefert einen vorhersehbaren Satz Sicherheitslücken gleich mit. VibeZero liest dein Repository über fünf Ebenen, sagt dir, ob die App sicher starten kann, und verifiziert jeden Fix per Rescan.
Die ersten 3 Scans sind kostenlos, ohne Karte. Du siehst den Startreife-Score, bevor du zahlst.
Was in Lovable-Apps schiefgeht
Supabase-Tabellen mit abgeschalteter Row Level Security
Wenn Lovable eine Tabelle anlegt, aktiviert es weder RLS noch schreibt es eine Policy, sodass jeder angemeldete Nutzer sämtliche Zeilen aller anderen lesen und schreiben kann. Das ist der mit Abstand häufigste Befund in Lovable-Apps. Eine Anfang 2025 offengelegte RLS-Fehlkonfiguration legte E-Mails, API-Keys und Zahlungsdaten in über 170 deployten Lovable-Projekten frei.
Service-Role-Keys, die im Browser landen
Der generierte Code ruft Fremd-APIs direkt vom Client auf, statt über ein Backend zu gehen, sodass das Secret im JavaScript-Bundle landet, wo es jeder in den DevTools lesen kann. Bots, die Zugangsdaten sammeln, finden Keys in einem öffentlichen Bundle binnen Stunden nach dem Deploy.
Routen, die authentifizieren, aber nie autorisieren
Lovable ergänzt zuverlässig einen Login. Deutlich unzuverlässiger prüft es, ob der angemeldete Nutzer den konkreten Datensatz anfassen darf, nach dem er gefragt hat, wodurch jeder gültige Account zum Lesen der ganzen Tabelle wird.
Dependencies, festgenagelt auf den Stand der Generierung
Das Lockfile friert in dem Moment ein, in dem die App erzeugt wurde, und nichts hebt es danach an, sodass bekannte CVEs still auflaufen, während die App weiterhin einwandfrei funktioniert.
Der Fix ist meist eine Edge Function, kein Rewrite
Die meisten Lovable-Befunde laufen auf wenige Ursachen hinaus: RLS aktivieren und die Policy schreiben, den Fremdaufruf in eine Supabase Edge Function verschieben, die das Secret hält, sodass der Browser nur den anon-Key sieht, und die Eigentümerprüfung ergänzen, die die generierte Route übersprungen hat. VibeZero schreibt jede davon als Fix-Aufgabe samt betroffener Dateien und Abnahmekriterien, fertig für den Agenten, der die App überhaupt erst gebaut hat.
Die meisten Vibe-Coding-Scanner bekommen nur deine URL.
Eine deployte App von außen abzuklopfen findet, was in dieser Minute zufällig erreichbar war. Es kann die Regel nicht lesen, die du nie geschrieben hast, den Key nicht sehen, der in deiner Git-Historie liegt, und das CVE nicht finden, das drei Ebenen tief im Lockfile steckt. VibeZero verbindet sich mit dem Repository, scannt alle fünf Ebenen und bewertet dann das Release.
- Code
OpenGrep über jede erkannte Sprache, dazu Bandit, gosec und ESLint-security, wo sie greifen.
- Dependencies
OSV-Scanner und Grype über deine Lockfiles, damit sich kein transitives CVE versteckt.
- Secrets
Gitleaks und TruffleHog über den Arbeitsbaum und die Git-Historie dahinter.
- Konfiguration
Trivys Fehlkonfigurations-Scanner über deine Infrastruktur, Datenbankregeln und Deploy-Einstellungen.
- Laufende App
Live-Prüfungen gegen deine deployte URL, sobald du nachgewiesen hast, dass sie dir gehört.