CVE-2026-10708

WysokieCVSS 7.5

Opublikowano: 08/07/2026(UTC)Zaktualizowano: 09/07/2026(UTC)Przetłumaczono: 10/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Podatność w platformie Adalo umożliwia masowe pozyskiwanie danych użytkowników bez znajomości sekretów aplikacji. Pojedyncze żądanie do komponentu rankingu może zwrócić rekordy zawierające adresy e-mail, UUID i niestandardowe pola. Połączenie liberalnej polityki CORS, długo żyjących tokenów JWT (20 dni) i braku mechanizmu unieważniania tokenów pozwala atakującym na zbieranie wrażliwych danych z dowolnej aplikacji Adalo.

Ocena ryzyka

Organizacja narażona jest na wyciek danych osobowych użytkowników (e-mail, UUID) oraz informacji z niestandardowych pól, co może prowadzić do naruszenia prywatności, utraty zaufania i konsekwencji prawnych.

Rekomendacja

Należy natychmiast skrócić czas życia tokenów JWT, wdrożyć mechanizm unieważniania tokenów oraz ograniczyć politykę CORS do zaufanych domen. Ponadto zaleca się audyt komponentów rankingu pod kątem ograniczenia zwracanych danych.

Inne podatności w Adalo

CVE-2026-10706Wysokie
W narzędziu do tworzenia aplikacji no-code Adalo (wersje 1 i 2) atakujący mogą wyodrębnić pełne rekordy użytkowników i korelować ich zachowanie w wielu aplikacjach poprzez enumerację dbId. Platforma nie wdraża minimalizacji danych, prywatności w fazie projektowania ani odpowiednich zabezpieczeń technicznych, co pozwala na ujawnianie wrażliwych informacji nieupoważnionym stronom.

Oryginalny opis (angielski, źródło NVD)

This vulnerability enables large‑scale data harvesting without requiring app‑specific secrets. A single request to a minimal leaderboard component may return user records containing emails, UUIDs, and custom fields. The combination of wildcard CORS behavior, long‑lived twenty‑day JWTs, and the absence of token revocation allows attackers to gather sensitive personal information from any Adalo application.