AllUnited 注册表单漏洞导致俱乐部会员资料和凭据泄露
AllUnited 称，攻击者通过俱乐部注册表单进入一台服务器并复制会员资料，其中包括 IBAN 和凭据。平台已修复漏洞并宣布重置密码，尚未公布受影响人数。
- 披露时间
- 2026年11月10日
- 公开披露日期
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- 使用 AllUnited 的俱乐部、联合会和社群，以及其会员、管理员与网站注册人员。
- AllUnited · SaaS · data breach
- 在野利用
- 已发现
- AllUnited 确认软件漏洞遭利用，数据库记录被复制。
发生了什么
AllUnited 称，11 月 9 日有人通过俱乐部网站注册表单利用平台软件缺陷。攻击者访问了一台服务器，复制了平台上俱乐部和联合会的数据库资料。平台称 11 月 10 日发现并修复漏洞，未公布 CVE 或受影响版本。
管理账户记录包括姓名、邮箱、电话号码和平台称为加密存储的密码。AllUnited 称攻击者也取得了有关密码保护方式的信息。未更改的临时密码以可读形式保存。会员记录可能包括地址、出生日期、联系方式、IBAN 及自由填写的备注；网站注册记录包括联系方式、出生资料及 IBAN。具体字段因记录而异。荷兰板球协会称，其 AllUnited 系统中所有球员的记录遭复制，并已向监管机构报告。AllUnited 称截至 11 月 12 日有数百家机构授权联合申报，这不是受影响人数。公开公告尚未确认账户遭接管或出现财务损失。
案发时间线
2026年11月9日
攻击者通过俱乐部注册表单访问 AllUnited 服务器
AllUnited 称攻击者复制了数据库资料。
2026年11月10日
AllUnited 发现并修复漏洞，通知客户机构
平台向荷兰数据保护局报告，宣布使密码失效并清除可读的临时密码。
2026年11月11日
密码重置邮件在延迟后恢复投递
AllUnited 称积压邮件已发出，并暂时停用与五个体育联合会的 API 对接。
2026年11月12日
AllUnited 更新联合报告流程
平台公布 11 月 13 日授权联合申报和机构自行报告的不同截止时间。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- AllUnited 事件时间线及常见问题一手来源确认入口、被复制的数据、密码处置和客户机构通知流程。
- AllUnited 客户服务中心公告一手来源引导客户查看官方事件及处置页面。
- 荷兰皇家板球协会（KNCB）会员通知一手来源确认其 AllUnited 系统中所有球员的记录遭复制。