TanStack Start 취약점 대응과 Lovable 앱 보호

우리 보안팀은 Lovable 앱에서 사용되는 프레임워크인 TanStack Start의 취약점(CVE-2026-102989) 을 발견했습니다. 우리는 이를 유지관리자에게 보고했고, 수정 작업이 진행되는 동안 Lovable에서 호스팅되는 앱들을 보호하기 위해 방화벽 보호 조치를 적용했습니다.

여러분도 별도의 조치를 취할 필요가 없습니다. Lovable은 영향받는 프로젝트를 다음에 변경할 때 자동으로 업데이트합니다. 앱에 또 다른 변경을 가하지 않고도 업데이트를 적용하고 싶다면, 프로젝트의 보안 페이지에서 무료로 수행할 수 있습니다.

모든 Lovable 프로젝트가 영향을 받은 것은 아닙니다. 여러분의 프로젝트가 영향을 받았다면 이메일로 연락드릴 것입니다.

우리가 무엇을 발견했는지, 어떻게 대응했는지, 그리고 이것이 여러분의 앱에 어떤 의미인지 설명드리겠습니다.

우리가 발견한 내용

2026년 9월 14일, 우리 보안팀의 한 보안 연구원이 Lovable 앱을 구동하는 소프트웨어 라이브러리를 조사하던 중 이 취약점을 식별했습니다. 그의 역할은 공격자처럼 생각하는 것입니다. 즉, 여러분의 앱 뒤에서 동작하는 소프트웨어를 적극적으로 깨뜨리려 시도해 약점을 찾아내고 이를 해결하는 것입니다. 이번 발견은 그런 선제적 작업의 결과였습니다.

이 취약점은 공격자가 특별히 조작한 링크를 사용해 영향받는 앱이 방문자의 브라우저에서 원치 않는 JavaScript를 실행하도록 만들 수 있게 했습니다. 그 코드는 방문자가 볼 수 있는 정보에 접근하거나, 영향받는 앱 안에서 해당 사용자의 권한으로 작업을 수행할 수 있었습니다.

우리가 확인한 공격은 영향받는 서버 기능과 방문자가 악성 링크를 여는 두 가지 조건이 모두 필요했습니다. TanStack Start를 사용한다고 해서 그 자체로 모든 앱이 공격 가능한 것은 아니었습니다.

우리가 검토한 로그에서는 악용이 이루어진 증거를 찾지 못했습니다.

수정 작업이 진행되는 동안 앱을 보호한 방법

우리는 9월 14일에 TanStack에 취약점 보고서를 제출했습니다. 그 후, 호스팅된 앱에서 이 문제를 악용하려는 시도를 차단하도록 설계된 방화벽 규칙을 적용하기 시작했습니다.

그런 다음 적용 범위를 개선하고 정상적인 요청이 차단되지 않도록 규칙을 계속 테스트하고 다듬었습니다. 상위 수정 사항이 준비되는 동안 방화벽이 완화 조치 역할을 했습니다.

여러분의 앱은 Lovable에서 실행되므로, 보안 경고를 읽거나 설정을 바꿀 때까지 기다리지 않고도 이런 보호 조치를 적용할 수 있었습니다. 우리 팀의 한 번의 패치로 플랫폼 전반의 호스팅 앱에 도달할 수 있었습니다. 또한 기술적 세부 사항이 공개되기 전에 TanStack의 유지관리자들이 문제를 해결할 시간을 가질 수 있도록 공개 조율도 진행했습니다.

수정 사항을 여러분의 프로젝트에 반영하는 방법

우리는 여러분이 Lovable에서 이미 작업하던 방식 안에 업데이트를 넣었습니다. 영향받는 프로젝트에 다음 변경을 가하는 순간, 코딩 에이전트가 자동으로 TanStack Start를 패치된 버전으로 업그레이드합니다. 패키지를 직접 찾아내거나 스스로 업데이트 방법을 알아낼 필요가 없습니다.

계속 빌드하기 전에 수정 사항을 적용하고 싶다면, 프로젝트의 보안 페이지에서 크레딧 비용 없이 할 수 있습니다.

새 프로젝트는 처음부터 패치된 버전을 사용합니다.

기존 프로젝트가 업데이트되는 동안에도 방화벽 보호는 계속 유지됩니다.

플랫폼에 내장된 보안 작업

우리의 보안 테스트에는 Lovable이 의존하는 타사 소프트웨어도 포함됩니다. 취약점을 발견하면, 우리는 이를 유지관리자에게 보고하는 것에서 끝내지 않고 그것을 사용하는 앱들을 보호하는 일까지 이어서 수행합니다.

이번 사안에서는, 취약점을 밝혀낸 선제적 연구, 공식 수정안이 나오기 전에 배포된 방화벽 보호, 그리고 여러분의 다음 편집 세션에 내장된 업데이트가 그 의미입니다. 우리 보안 스캐너는 또한 다른 변경 없이도 영향받는 의존성을 찾아 수정할 수 있는 방법을 제공합니다.

이 연구는 Lovable에서 호스팅되는 앱들 이상의 이점을 제공합니다. 취약점을 찾아 TanStack의 유지관리자에게 보고함으로써, 우리 팀은 해당 프레임워크를 사용하는 더 넓은 커뮤니티에 수정 사항이 전달되도록 돕는 데 기여했습니다.

계속 개발하기 위해 보안 전문가가 될 필요는 없습니다. Lovable에서 호스팅하면 여러분은 만들고 있는 것과 그것을 사용하는 사람들에 집중할 수 있고, 앱 보안을 유지하는 데 필요한 뒤단의 더 많은 작업은 우리 팀이 맡을 수 있습니다.

여러분이 해야 할 일

Lovable에서 호스팅되는 앱은 별도의 조치 없이 이미 방화벽 보호가 적용되어 있습니다. 프로젝트의 영향을 받는 소프트웨어를 업데이트하려면 다음 변경 사항을 Lovable에서 진행하거나, Security 페이지를 통해 무료로 수정 사항을 적용하세요.

앱을 다른 곳에 호스팅하는 경우, Lovable의 호스팅 보호는 해당 배포에는 적용되지 않습니다. 상위 보안 업데이트를 적용한 뒤 호스팅 설정을 통해 앱을 다시 배포하세요.

이번 업데이트에 대해 궁금한 점이 있는 고객은 Lovable Support에 문의할 수 있습니다.

출처

• 원문: https://lovable.dev/blog/how-lovable-protects-your-app-from-a-tanstack-start-vulnerability (2026-09-30 · Talia Moyal)