Lovable entdeckt Sicherheitslücke in TanStack Start und schützt gehostete Apps mit Firewall-Regeln

Was der Sicherheitsforscher herausfand

Laut Lovable stieß ein Sicherheitsforscher aus dem eigenen Sicherheitsteam am 14. September 2026 auf die Schwachstelle, als er Softwarebibliotheken untersuchte, auf denen Lovable-Apps basieren. Das Unternehmen beschreibt seine Aufgabe so: Er denkt wie ein Angreifer und versucht gezielt, die Software hinter den Apps zu knacken, damit Schwachstellen gefunden und behoben werden können.

Lovable erklärt, die Lücke hätte es einem Angreifer ermöglichen können, über einen speziell präparierten Link eine betroffene App dazu zu bringen, unerwünschten JavaScript-Code im Browser eines Besuchers auszuführen. Dieser Code könnte auf Informationen zugreifen, die dem Besucher zur Verfügung stehen, oder mit dessen Berechtigungen Aktionen innerhalb der App ausführen.

Für den Angriff waren zwei Bedingungen nötig: betroffene serverseitige Funktionen und ein Besucher, der den schädlichen Link öffnet. Lovable betont, dass allein der Einsatz von TanStack Start nicht jede App angreifbar gemacht habe und nicht alle Lovable-Projekte betroffen gewesen seien. In den bislang geprüften Logs habe das Unternehmen keine Hinweise auf eine Ausnutzung gefunden. Die Inhaber betroffener Projekte werden per E-Mail kontaktiert.

Firewall-Regeln, bis der Fix bereitstand

Lovable übermittelte TanStack am 14. September einen Schwachstellenbericht. Anschließend begann das Unternehmen, Firewall-Regeln durchzusetzen, die Ausnutzungsversuche in gehosteten Apps blockieren sollen. Nach eigenen Angaben testete und verfeinerte Lovable die Regeln laufend, um die Abdeckung zu verbessern und legitime Anfragen nicht zu blockieren.

Weil die Apps auf Lovable laufen, konnte das Unternehmen die Schutzmaßnahmen nach eigener Darstellung ausrollen, ohne darauf zu warten, dass Nutzer eine Sicherheitswarnung lesen oder eine Einstellung ändern. Ein einziger Patch des Teams habe gehostete Apps auf der gesamten Plattform erreichen können. Zudem habe Lovable die Offenlegung mit den TanStack-Maintainern abgestimmt und ihnen Zeit gegeben, das Problem zu beheben, bevor technische Details öffentlich wurden.

So gelangt das Update in die Projekte

Laut Lovable ist der Fix in den üblichen Arbeitsablauf eingebunden. Sobald ein Nutzer das nächste Mal eine Änderung an einem betroffenen Projekt vornimmt, aktualisiert der Coding-Agent TanStack Start automatisch auf die gepatchte Version. Nutzer müssen weder das Paket identifizieren noch herausfinden, wie sie es aktualisieren.

• Wer den Fix vor dem Weiterbauen einspielen möchte, kann das über die Sicherheitsseite des Projekts tun, ohne Credits zu verbrauchen.
• Neue Projekte verwenden von Anfang an die gepatchte Version.
• Die Firewall-Schutzmaßnahmen bleiben aktiv, während bestehende Projekte aktualisiert werden.

Der Sicherheitsscanner des Unternehmens biete zudem eine Möglichkeit, die betroffene Abhängigkeit zu finden und zu beheben, ohne weitere Änderungen vorzunehmen.

Was das für Nutzer bedeutet

Für Apps, die auf Lovable gehostet werden, sind die Firewall-Schutzmaßnahmen bereits aktiv. Um die betroffene Software zu aktualisieren, können Nutzer bei ihrer nächsten Änderung in Lovable das Update erhalten oder den Fix kostenlos über die Sicherheitsseite einspielen.

Apps, die anderswo gehostet werden, sind nicht abgedeckt. Deren Betreiber sollten laut Lovable das Upstream-Sicherheitsupdate einspielen und über ihre eigene Hosting-Infrastruktur neu bereitstellen. Kunden mit Fragen können sich an den Lovable Support wenden.

Lovable verweist außerdem darauf, dass die Forschung über die eigene Plattform hinaus nütze: Indem das Team das Problem den TanStack-Maintainern meldete, habe es dazu beigetragen, einen Fix für die gesamte Community bereitzustellen, die das Framework nutzt. Die Sicherheitstests des Unternehmens umfassten die Drittanbieter-Software, von der Lovable abhängt, von der Meldung einer Schwachstelle bis zum Schutz der Apps, die sie verwenden.