ClickUp: hardkodirani API ključ omogućavao pristup poslovnim e-mail adresama

Šta se desilo?

Javno dostupna JavaScript datoteka na početnoj strani ClickUp platforme sadržala je hardkodirani API ključ treće strane koji je omogućavao neovlašćeni pristup osetljivim podacima. Preko jednostavnog GET zahteva, bilo ko je mogao da pristupi 959 e-mail adresa zaposlenih iz velikih korporacija i vladinih institucija, kao i 3.165 internih zastavica funkcionalnosti. Iako je izveštaj stigao još u januaru 2025. godine, ključ prema izvoru ni u aprilu 2026. nije bio rotiran.

Koga pogađa?

Izloženost utiče na zaposlene iz velikih kompanija kao što su Fortinet, Home Depot, Tenable, Mayo Clinic, Autodesk, Rakuten i druge, kao i na vladine radnike iz američkih država (Vajoming, Arkansas, Severna Karolina, Montana) i država van SAD-a (Kvinsland, Novi Zeland). Takođe su zahvaćeni zaposleni ClickUp-a (71) i Microsoft instruktor. Posebnu zabrinutost predstavlja izloženost zaposlenih iz Fortineta (proizvođač enterprise zaštitnih zidova) i Tenable-a (kreatori skenera ranjivosti Nessus).

Kako se zaštititi?

• Proverite da li su Vaše e-mail adrese uključene u procurele podatke kroz dostupne baze podataka breša
• Budite oprezni sa e-mail porukama od nepoznatih pošiljalaca - izložene adrese su idealna meta za phishing kampanje
• Aktivirajte dvofaktorsku autentifikaciju na svim važnim nalozima
• Razmotrite promenu lozinki za kritične sisteme, naročito ako ste koristili iste lozinke na više platformi
• Pratite aktivnost na bankarskim i finansijskim nalozima zbog rizika od credential stuffing napada

Tehnički detalji

Ranjivost je otkrivena još 17. januara 2025. godine preko HackerOne platforme. Hardkodirani API ključ je bio ugrađen direktno u JavaScript datoteku koja se učitava pre bilo kakvog korisničkog upoznavanja. Pristup podacima nije zahtevao nikakve kredencijale niti sofisticirane alate - samo jedan neautentifikovani GET zahtev sa otkrivenim ključem. Izloženi podaci obuhvataju e-mail adrese i interne zastavice razvoja proizvoda koje mogu pomoći napadačima da bolje razumeju infrastrukturu platforme.