Align Technology My Invisalign 3.12.4 Hardcoded Contentful CDA Token Exposure

バグ概要 バグ概要 Align TechnologyのMy Invisalignアプリ（バージョン3.12.4）に、Contentful CDAトークンの露出脆弱性があります。このアプリは、クライアント側のコードにContentful Delivery APIの資格情報（space IDおよびCDAトークン）がハードコードされています。攻撃者はこれらの資格情報を利用してContentful CDA APIを直接クエリし、マスター本番環境およびリリース（プレプロダクション）環境からすべてのエントリを読み取ることができます。これにより、機密なビジネス構成データ、マーケティング戦略、多言語翻訳、およびヘルプドキュメントなどの内部情報が漏洩します。 影響範囲 アプリケーション名: Align Technology My Invisalign (com.aligntech.myinvisalign.emea) 影響を受けるバージョン: 3.12.4 影響を受ける環境: マスター本番環境 (master production) および リリース環境 (release pre-production) 漏洩データ: 機密なビジネス構成データ、マーケティング戦略、多言語翻訳、ヘルプドキュメント。 修正方法 ページには具体的な修正コードは提供されていません。一般的には、ハードコードされたAPIキーを削除し、環境変数または安全なキーマネージメントサービスを使用して機密資格情報を保管することが推奨されます。 POC/ exploitコード ページには完全な exploitスクリプトは直接提供されていませんが、漏洩した資格情報は ファイル内、具体的には に存在することが指摘されています。 関連リンク Source**: https://www.redos.io/contentful-cda-tokens-exposure-leading-to-unauthorized-access-to-master-and-release-environments-in-20260397817682ed4a18f1e126469f80ucp-n0zcy_link

目標達成 すべての支援者に感謝 — 100%達成しました！

Align Technology My Invisalign 3.12.4 Hardcoded Contentful CDA Token Exposure

目標達成すべての支援者に感謝 — 100%達成しました！