Les clients de Scalingo sont concernés par une fuite de données affectant une instance interne de l'outil d'analyse Metabase, annoncée par l'hébergeur le 12 août 2026. Selon le communiqué, environ 90 000 personnes voient exposées des informations les concernant suite à un accès rendu possible début août avant la mise hors ligne et le correctif.
Scalingo indique que l'accès provenait d'une vulnérabilité d'injection SQL non authentifiée du logiciel tiers Metabase, divulguée le 6 août, et exploitée à partir du 8 août jusqu'à la mise hors ligne le 10 août. Les données exposées comprennent l'identité et les coordonnées (nom, identifiant, adresse email, société, localisation), des éléments liés aux comptes Scalingo et GitHub associés, ainsi que des données de facturation limitées. Selon Scalingo, aucun élément ne permet à ce stade d'établir un accès aux applications ou aux bases de données de production de ses clients. La CNIL a été notifiée le 11 août et les clients concernés ont été informés le 12 août.
Détails techniques :
- Instance interne de Metabase impactée
- Vulnérabilité d'injection SQL non authentifiée (divulguée le 6 août)
- Accès possible du 8 au 10 août, prise hors ligne et correctif appliqué le 10 août
- CNIL notifiée le 11 août ; clients informés le 12 août
Données concernées :
- Nom complet et coordonnées (adresse email, localisation)
- Identifiants de connexion et identifiants internes
- Données professionnelles (société, rôle, droits d'accès)
- Informations de compte Scalingo et GitHub associées
- Données de facturation limitées
- Adresses web, photos et fiche client
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise