한 사용자가 요청의 ID 숫자만 바꿔도 다른 사람의 데이터를 꺼낼 수 있는 구조거든요

바이브코딩으로 만든 앱 100개를 스캔했더니 73개에서 BOLA(객체 수준 인증 취약점)가 발견됐어요. 한 사용자가 요청의 ID 숫자만 바꿔도 다른 사람의 데이터를 꺼낼 수 있는 구조거든요.

실제로 Product Hunt 1위를 찍은 창업자 앱에서 누군가 /api/users/{id} 를 1번부터 10,000번까지 돌려 전체 유저의 이름·이메일·구독 정보를 통째로 가져간 사건이 발단이었어요. Lovable로 3주 만에 만든 앱, 보안 검토는 제로였죠.

41개는 CSP 헤더 미설정, 31개는 CORS에 와일드카드와 인증정보를 동시에 허용, 22개는 관리자 엔드포인트가 일반 유저에게 열려 있었어요. 바이브코딩 툴의 문제가 아니라, 빠르게 완성되는 기능 뒤에 보안 검토가 빠진 구조적 문제예요.