로그인 체크는 있는데 '내 데이터인지' 확인을 빠뜨리는 BOLA(객체 수준 권한 오류) 취약점이에요

Cursor·v0로 만든 MVP에는 공통 보안 구멍이 있어요. 로그인 체크는 있는데 '내 데이터인지' 확인을 빠뜨리는 BOLA(객체 수준 권한 오류) 취약점이에요.

실제로 2025년 Lovable 생성 앱 170개 이상이 이 버그로 뚫렸거든요. 그 중 하나에는 사용자 1만 3천 명의 정보가 담겨 있었어요. CVE-2025-48757로 등록된 사례예요.

원인은 단 한 줄이에요. API가 ownerId를 WHERE 조건에 넣지 않으면, 로그인한 사용자 누구나 남의 데이터를 ID 숫자만 바꿔서 볼 수 있어요.

유료 고객을 받기 전에 오후 반나절만 투자해서 이 체크 하나만 해도 큰 사고를 막을 수 있어요.