Framework डेटा ब्रीच: Metabase जीरो-डे अटैक से सभी ग्राहकों का डेटा लीक

कितने ग्राहक प्रभावित हुए

Framework ने कहा कि उसने "सभी ग्राहकों" को सूचित किया — जिसका अर्थ है कि सेंध ने उसके पूरे ग्राहक आधार को प्रभावित किया । हालाँकि, Framework ने प्रभावित व्यक्तियों की सटीक संख्या सार्वजनिक रूप से नहीं बताई है। कंपनी के प्रवक्ता, एरिक शूमाकर ने TechCrunch को बताया कि सेंध ने "सभी ग्राहकों" को प्रभावित किया, लेकिन एक विशिष्ट संख्या बताने से इनकार कर दिया । एक रिपोर्ट ने Framework के ज्ञात उपयोगकर्ता समुदाय के आकार के आधार पर लगभग 18,000 ग्राहकों का अनुमान लगाया, लेकिन यह एक आधिकारिक आंकड़ा नहीं है और यह एक महत्वपूर्ण कम अनुमान हो सकता है ।

अपस्ट्रीम वेंडर: Metabase

Framework ने पूरी तरह से Metabase पर सेंध का दोष मढ़ा, जो ओपन-सोर्स बिज़नेस इंटेलिजेंस (BI) प्लेटफ़ॉर्म है जिसका उपयोग Framework अपने एनालिटिक्स डेटा को होस्ट करने के लिए करता था । यह एक पाठ्यपुस्तकीय सप्लाई-चेन अटैक है — Framework के अपने सिस्टम सीधे तौर पर भंग नहीं हुए, बल्कि एक भरोसेमंद तृतीय-पक्ष वेंडर भंग हुआ।

कमजोरी: CVE-2026-72898

हमले का वेक्टर Metabase के सॉफ़्टवेयर में एक गंभीर बिना प्रमाणीकरण वाली SQL इंजेक्शन जीरो-डे कमजोरी थी । मुख्य विशेषताएँ:

• CVSS स्कोर: 10.0 (अधिकतम गंभीरता) — संभव उच्चतम रेटिंग
• CVE ID: CVE-2026-72898
• प्रभावित संस्करण: Metabase संस्करण 1.58 से 1.63
• हमले का तरीका: शोषण ने एक दूरस्थ हमलावर को /reset_password एंडपॉइंट के माध्यम से Metabase एप्लिकेशन डेटाबेस में मनमाना SQL इंजेक्ट करने की अनुमति दी, जिससे बिना किसी क्रेडेंशियल के पूर्ण व्यवस्थापक पहुँच प्राप्त हुई
• प्रभाव: एक बार जब हमलावर को एडमिन एक्सेस मिल गया, तो वे संग्रहीत डेटाबेस क्रेडेंशियल और किसी भी सुलभ डेटा, जिसमें ग्राहक PII शामिल है, को चुरा सकते थे

Metabase ने स्वयं क्या खुलासा किया

Metabase ने 6 अगस्त, 2026 को इस घटना का खुलासा किया, जिसमें बताया गया कि उसका Metabase Cloud SaaS प्लेटफ़ॉर्म इस पहले से अज्ञात कमजोरी के माध्यम से समझौता किया गया था । मुख्य समयरेखा और विवरण:

• 3 अगस्त, 2026: शोषण हुआ — पैच जारी होने से तीन दिन पहले
• 6 अगस्त, 2026: Metabase ने प्रभावित क्लाउड टेनेंट्स, जिनमें Framework और फॉर्म प्रदाता Tally शामिल हैं, को सूचित किया
• 7 अगस्त, 2026: घटनाएँ सार्वजनिक हुईं
• आपातकालीन पैच: Metabase ने संस्करण 1.58+ के लिए फिक्स जारी किए। संस्करण 1.58 से 1.63 चलाने वाले सेल्फ-होस्टेड इंस्टेंस भी कमजोर थे और उन्हें तत्काल अपडेट की आवश्यकता थी

Metabase ने चेतावनी दी कि, ग्राहक डेटा से परे, शोषण प्रभावित इंस्टेंस से संग्रहीत डेटाबेस क्रेडेंशियल, टोकन, API कुंजी और अन्य संवेदनशील कॉन्फ़िगरेशन डेटा को उजागर कर सकता है । इसका मतलब है कि विस्फोट की त्रिज्या केवल उस ग्राहक डेटा से परे थी जिसका Framework खुलासा कर रहा है — हमलावर संभावित रूप से Metabase से अन्य जुड़े सिस्टम में स्थानांतरित हो सकते हैं।

सप्लाई-चेन संदर्भ: एक व्यापक अभियान

Framework अकेली प्रभावित कंपनी नहीं थी। जैसे-जैसे Metabase की जांच आगे बढ़ी, कम से कम पाँच कंपनियों ने सार्वजनिक रूप से समझौता किए जाने की पुष्टि की :

• Framework (7 अगस्त) — ग्राहक PII चोरी
• Tally (7 अगस्त) — फॉर्म बिल्डर; ग्राहक ईमेल पते और पासवर्ड हैश उजागर
• n8n (8 अगस्त) — वर्कफ़्लो ऑटोमेशन प्लेटफ़ॉर्म
• Kilo Code / Anaconda (9 अगस्त) — AI कोडिंग प्लेटफ़ॉर्म
• ChecklyHQ (10 अगस्त) — मॉनिटरिंग प्लेटफ़ॉर्म

यह पैटर्न दर्शाता है कि Metabase जीरो-डे का उपयोग विशेष रूप से Framework के खिलाफ लक्षित सेंध के रूप में नहीं, बल्कि कई क्लाउड टेनेंट्स के खिलाफ एक सामान्य-उद्देश्य वाले हमले के रूप में किया गया था।

Framework ग्राहकों को क्या करना चाहिए

Framework की आधिकारिक अधिसूचना, जैसा कि कई आउटलेट्स ने बताया, में ग्राहकों के लिए मार्गदर्शन शामिल था। चुराए गए डेटा के प्रकारों और मानक सेंध प्रतिक्रिया प्रथाओं के आधार पर, प्रभावित ग्राहकों को चाहिए:

1. फ़िशिंग प्रयासों से सावधान रहें: हमलावरों के पास अब नाम, ईमेल पते, फ़ोन नंबर और भौतिक पते हैं — अत्यधिक लक्षित फ़िशिंग ईमेल, SMS संदेश या यहाँ तक कि भौतिक मेल घोटालों के लिए सभी सामग्री।
2. खातों में संदिग्ध गतिविधि पर नज़र रखें: लॉगिन IP पते उजागर हुए; यदि आपने अन्य सेवाओं पर पासवर्ड का पुन: उपयोग किया है, तो उन्हें बदलने पर विचार करें।
3. सेंध के बारे में अप्रत्याशित ईमेल में लिंक पर क्लिक न करें: हमलावर संभवतः अधिक जानकारी प्रकट करने या मैलवेयर इंस्टॉल करने के लिए पीड़ितों को बेवकूफ बनाने के लिए Framework या सुरक्षा सेवाओं का रूप धारण करेंगे।
4. केवल आधिकारिक Framework संचार की जाँच करें: कंपनी ने कहा कि वह डेटा संग्रहण के लिए अपनी पद्धति की समीक्षा और सुधार कर रही है और अपने आधिकारिक चैनलों के माध्यम से अपडेट प्रदान करेगी ।

Framework के प्रवक्ता ने TechCrunch को बताया कि कंपनी "जानकारी के इस उल्लंघन के लिए गहराई से खेद व्यक्त करती है" और अपनी डेटा संग्रहण पद्धति की "समीक्षा और सुधार" कर रही है ।

मुख्य निष्कर्ष

• Framework का संपूर्ण ग्राहक डेटाबेस Metabase पर एक सप्लाई-चेन हमले के माध्यम से समझौता किया गया, न कि Framework के अपने बुनियादी ढांचे की सीधी सेंध से।
• चुराए गए डेटा में PII (नाम, पते, फ़ोन नंबर, ईमेल) शामिल है, लेकिन भुगतान या ऑर्डर जानकारी नहीं।
• उपयोग की गई कमजोरी CVE-2026-72898 थी, जो Metabase संस्करण 1.58-1.63 में एक CVSS 10.0 प्री-ऑथेंटिकेशन SQL इंजेक्शन है।
• Framework ने सटीक ग्राहक संख्याओं का खुलासा नहीं किया है, हालाँकि सभी ग्राहकों को सूचित किया गया था।
• उसी Metabase जीरो-डे अभियान से कम से कम पाँच कंपनियाँ प्रभावित हुईं।
• प्रभावित संस्करणों पर सभी सेल्फ-होस्टेड Metabase उपयोगकर्ताओं को अगस्त 2026 की शुरुआत में तुरंत पैच कर लेना चाहिए था।