Metabase sıfır-gün açığı Framework ve Trezor'un müşteri verisini sızdırdı

İş-zekası ve analitik aracı Metabase Cloud’da keşfedilen bir sıfır-gün SQL enjeksiyon açığı, aynı üçüncü-taraf hizmeti kullanan en az iki büyük donanım markasını vurdu. Her iki şirket de kendi çekirdek sistemlerinin değil, ortak kullandıkları analitik platformunun ele geçirildiğini doğruladı.

Modüler dizüstü bilgisayar üreticisi Framework, 6 Ağustos’ta tüm müşterilerine gönderdiği e-postada isim, e-posta, telefon, fiziksel adres ve giriş-IP bilgilerinin sızdığını bildirdi. Şirket, ödeme bilgilerinin bu sızıntıdan etkilenmediğini vurguladı.

Trezor’da 13.689 müşteri etkilendi

Donanım kripto-cüzdanı üreticisi Trezor ise lojistik ortağı ShipMonk üzerinden aynı Metabase açığıyla 13.689 müşterisinin bilgilerinin sızdığını 13 Ağustos’ta açıkladı. Bunların 11.742’si tam, 1.947’si kısmi veri sızıntısıydı; sızan bilgiler isim, e-posta, telefon ve kargo adresini kapsıyordu. Sızıntı, 10 Mayıs-8 Ağustos arasında sipariş veren ABD, İngiltere, İsveç, Kolombiya, Brezilya, İtalya ve Portekiz’deki müşterileri etkiledi.

Trezor, sızan verinin doğrudan kullanıcıların kripto varlıklarına erişim sağlamadığını belirtti. Ancak şirket, “kimin donanım cüzdanı var ve hangi adrese teslim edildi” bilgisinin fiziksel güvenlik açısından ayrı bir risk taşıdığını da vurguladı — bu tür veriler, hedefli fiziksel saldırılar için kullanılabilecek hassas bilgiler arasında yer alıyor.