CVE-2026-10706

WysokieCVSS 7.5

Opublikowano: 08/07/2026(UTC)Zaktualizowano: 09/07/2026(UTC)Przetłumaczono: 10/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

W narzędziu do tworzenia aplikacji no-code Adalo (wersje 1 i 2) atakujący mogą wyodrębnić pełne rekordy użytkowników i korelować ich zachowanie w wielu aplikacjach poprzez enumerację dbId. Platforma nie wdraża minimalizacji danych, prywatności w fazie projektowania ani odpowiednich zabezpieczeń technicznych, co pozwala na ujawnianie wrażliwych informacji nieupoważnionym stronom.

Ocena ryzyka

Ryzyko polega na możliwości masowego wycieku danych osobowych użytkowników oraz profilowania ich aktywności między aplikacjami, co może prowadzić do naruszenia przepisów o ochronie danych (np. RODO) i utraty zaufania klientów.

Rekomendacja

Należy natychmiast zaktualizować Adalo do najnowszej wersji, wdrożyć mechanizmy uwierzytelniania i autoryzacji dla endpointów API oraz ograniczyć dostęp do identyfikatorów dbId poprzez ich randomizację lub szyfrowanie.

Inne podatności w Adalo

CVE-2026-10708Wysokie
Podatność w platformie Adalo umożliwia masowe pozyskiwanie danych użytkowników bez znajomości sekretów aplikacji. Pojedyncze żądanie do komponentu rankingu może zwrócić rekordy zawierające adresy e-mail, UUID i niestandardowe pola. Połączenie liberalnej polityki CORS, długo żyjących tokenów JWT (20 dni) i braku mechanizmu unieważniania tokenów pozwala atakującym na zbieranie wrażliwych danych z dowolnej aplikacji Adalo.

Oryginalny opis (angielski, źródło NVD)

In Adalo’s no-code app builder, (Versions 1 and 2) the attackers may extract full user records and correlate user behavior across multiple applications via dbId enumeration. The platform does not implement data minimization, privacy by design, or implement appropriate technical safeguards, allowing sensitive information to be exposed to unauthorized parties.