Ngày 27 tháng 4 – Điều gì đã xảy ra với cấu hình cờ tính năng của chúng tôi

Vào ngày 27 tháng 4 năm 2026, một nhà nghiên cứu bảo mật đã công bố rằng cấu hình cờ tính năng phía máy khách của ClickUp đã để lộ thông tin nhận dạng cá nhân. Cụ thể, 893 địa chỉ email của khách hàng đã bị nhúng vào các quy tắc nhắm mục tiêu cờ tính năng, cùng với một cờ tính năng đã tham chiếu không đúng cách đến token API của một khách hàng, được sử dụng trong quá trình ứng phó sự cố nhằm giới hạn lưu lượng truy cập từ không gian làm việc đó.

Chúng tôi lẽ ra phải phát hiện ra vấn đề này sớm hơn. Nhưng chúng tôi đã không thực hiện việc cần làm đó, và chúng tôi cần phải giải thích rõ ràng cho quý vị về những gì đã xảy ra, lý do tại sao, những biện pháp chúng tôi đã thực hiện để khắc phục tình hình hiện tại, cũng như cách thức chúng tôi sẽ cải thiện trong thời gian tới.

Bạn có bị ảnh hưởng không?

Vụ rò rỉ giới hạn ảnh hưởng đến 893 địa chỉ email của khách hàng được sử dụng trong các quy tắc nhắm mục tiêu tính năng nhằm kiểm soát những người dùng nào sẽ thấy các tính năng cụ thể trong quá trình triển khai.

Nếu bạn nhận được thông báo trực tiếp từ trước hoặc vào ngày 29 tháng 4 (đang diễn ra), địa chỉ email của bạn nằm trong danh sách được bao gồm trong cấu hình tính năng. Nếu bạn chưa nhận được thông báo từ chúng tôi, địa chỉ email của bạn không có trong danh sách các địa chỉ email.

Vấn đề kỹ thuật

ClickUp sử dụng Split.io (hiện là một phần của Harness) để quản lý cờ tính năng. Giống như hầu hết các SDK cờ tính năng phía trình duyệt, Split.io yêu cầu một khóa SDK phía client được nhúng trong gói JavaScript của ứng dụng. Khóa này được thiết kế để công khai và chính là cách SDK đánh giá các cờ tính năng cho người dùng hiện tại trong trình duyệt. Đây là hành vi tiêu chuẩn, đã được tài liệu hóa trên Split.io, LaunchDarkly và các nền tảng tương tự, và không phải là lỗ hổng bảo mật.

Vấn đề không nằm ở khóa. Điều quan trọng là những gì các kỹ sư của chúng tôi đã thiết lập trong các cấu hình cờ.

Về mặt kiến trúc, tình hình diễn ra như sau: các nền tảng cờ tính năng cho phép các kỹ sư nhắm mục tiêu đến những người dùng cụ thể khi triển khai tính năng. Các nhóm kỹ sư của ClickUp đã sử dụng địa chỉ email trực tiếp trong các quy tắc nhắm mục tiêu cờ. Một ví dụ là kích hoạt một tính năng cho một nhóm người thử nghiệm beta cụ thể. Điểm cuối splitChanges có thể truy vấn công khai của SDK Split.io trả về toàn bộ các định nghĩa cờ, bao gồm các quy tắc nhắm mục tiêu này. Điều này có nghĩa là bất kỳ ai có khóa phía máy khách (mà, một lần nữa, được đặt có chủ ý trong mã frontend của chúng tôi) đều có thể truy xuất các định nghĩa cờ đó và trích xuất các địa chỉ email được nhúng trong đó.

Các kỹ sư đã coi các cấu hình cờ tính năng như các công cụ nội bộ, trong khi theo thiết kế, kiến trúc SDK cho phép truy vấn công khai các cấu hình này. Điều đó đã khiến các địa chỉ email bị tích lũy tại một vị trí mà lẽ ra chúng không bao giờ nên xuất hiện. Việc cập nhật cờ tính năng yêu cầu phải qua một vòng đánh giá đồng nghiệp +1, tương tự như đối với mã. Bước đánh giá này đã không phát hiện ra vấn đề này.

Trường hợp ngoại lệ duy nhất – Một cờ được cấu hình để giới hạn tốc độ đối với một khách hàng duy nhất

Một kỹ sư trực ca đang xử lý vụ lạm dụng API đã đề cập đến token API của khách hàng trong cấu hình cờ giới hạn tốc độ nhằm điều tiết lưu lượng truy cập, khiến thông tin này có khả năng bị đọc được qua điểm cuối SDK. Điều này lẽ ra không bao giờ được xảy ra: thông tin xác thực không nên xuất hiện trong cấu hình cờ. Chúng tôi đã vô hiệu hóa token ngay lập tức, và tính đến thời điểm hiện tại, kết quả điều tra nhật ký của chúng tôi không cho thấy dấu hiệu nào về việc truy cập độc hại ngoài phạm vi điều tra của chính nhà nghiên cứu. Không có token khách hàng hoặc dữ liệu không gian làm việc nào khác bị truy cập, và chúng tôi đang làm việc trực tiếp với khách hàng này.

Điều gì đã bị phơi bày và điều gì thì không

Dòng thời gian

Chúng tôi cam kết hoàn toàn minh bạch về những điểm mà quy trình của chúng tôi đã gặp trục trặc, bao gồm cả những sự cố từ nhà cung cấp chương trình thưởng lỗi bên thứ ba và các công cụ giao tiếp nội bộ của chính chúng tôi.

Điểm mà quy trình của chúng tôi đã thất bại

Có ba vấn đề đã xảy ra ở đây, và chúng tôi muốn chỉ ra rõ ràng từng vấn đề. Chúng tôi sẽ thảo luận về các thay đổi trong phần tiếp theo.

1. Không có hành động tiếp theo nào được thực hiện dựa trên báo cáo ban đầu. Báo cáo về chương trình thưởng lỗi tháng 1 năm 2025 lẽ ra có thể dẫn đến một công việc kỹ thuật và việc rà soát các dữ liệu có trong cấu hình cờ (flag configs). Tuy nhiên, kết quả là điều đó đã không xảy ra. Chúng tôi đang cập nhật quy trình phân loại vấn đề để ngăn chặn tình trạng này lặp lại trong tương lai.

2. HackerOne đã xử lý sai việc đóng báo cáo trùng lặp. Báo cáo tháng 4 năm 2026 ghi nhận tác động mới đáng kể so với báo cáo tháng 1 năm 2025. HackerOne không nên đóng báo cáo này với lý do trùng lặp. Sau khi xem xét kỹ hơn, chúng tôi đã xác định được hai đối tượng/kỳ/phiên bản khác có báo cáo tương tự đã được đóng – một vào ngày 6 tháng 9 năm 2025 và một vào ngày 1 tháng 1 năm 2026. Chúng tôi đang làm việc với HackerOne để khắc phục những lỗ hổng trong quy trình phân loại của họ. Chúng tôi sẽ tiến hành xem xét lại tất cả các báo cáo của HackerOne để đảm bảo rằng chúng tôi không phụ thuộc vào quy trình của bên thứ ba trong tương lai.

3. Dịch vụ email của chúng tôi đã đánh dấu email khiếu nại của nhà nghiên cứu là thư rác. Vào thứ Bảy, ngày 25 tháng 4, nhà nghiên cứu đã gửi email cho cả Giám đốc điều hành của chúng tôi và địa chỉ bảo mật@clickup.com, đồng thời gửi tin nhắn trực tiếp (DM) đến tài khoản X của ClickUp.

Chúng tôi chỉ phát hiện ra những email này sau khi bài đăng trên X được công khai. Chúng được phát hiện sau một cuộc điều tra nội bộ về các thư mục thư rác và hệ thống lọc tin nhắn trực tiếp (DM) trên X.

Chúng tôi đang cập nhật quy trình lọc email và kiểm duyệt thư rác để đảm bảo các thông tin liên lạc đến liên quan đến bảo mật không bị loại bỏ mà không có thông báo.

Không có lý do nào trong số này có thể bào chữa cho vấn đề cốt lõi: ngay từ đầu, dữ liệu khách hàng lẽ ra không bao giờ được đưa vào các cấu hình cờ tính năng của chúng tôi.

Những gì chúng tôi đã hoàn thành

Ngay lập tức (đã hoàn thành)

Ngắn hạn (tiến độ đang thực hiện)

Dài hạn

Một ghi chú về nhà nghiên cứu

Ngay sau khi ClickUp liên hệ với nhà nghiên cứu đã tiết lộ thông tin này, người sử dụng biệt danh impulsive / @weezerOSINT, họ đã hành động một cách có trách nhiệm và cung cấp đầy đủ mọi thông tin được yêu cầu.

Nhà nghiên cứu, hoạt động dưới biệt danh impulsive / @weezerOSINT, đã báo cáo qua các kênh chính thức (HackerOne, sau đó là email trực tiếp đến bảo mật@ClickUp.com và Giám đốc điều hành của chúng tôi) và đã hợp tác một cách xây dựng khi chúng tôi liên hệ. Các quy trình nội bộ của chúng tôi đã không kịp thời phát hiện báo cáo và các yêu cầu xử lý khẩn cấp của họ.

Sau khi thực hiện công việc với nhà nghiên cứu, ClickUp đã nhận được tin nhắn sau vào lúc 1:47 UTC ngày 28 tháng 4: “Cảm ơn [ClickUp], tôi thực sự đánh giá cao sự nhanh chóng của các bạn trong việc xử lý vấn đề này. Đây không phải là điều tôi thường thấy và nó thực sự tạo nên sự khác biệt.”

ClickUp đang trao thưởng cho nhà nghiên cứu này thông qua chương trình tiền thưởng phát hiện lỗ hổng bảo mật. Chúng tôi khuyến khích các nhà nghiên cứu khác tham gia chương trình tiền thưởng phát hiện lỗ hổng bảo mật của chúng tôi, báo cáo một cách có trách nhiệm thông qua Chương trình Tiết lộ Lỗ hổng Bảo mật, hoặc gửi email trực tiếp đến địa chỉ security@clickup.com.

Tóm tắt

Dữ liệu bị rò rỉ trong sự cố này chỉ giới hạn ở 893 địa chỉ email – không có nội dung không gian làm việc, mật khẩu hay dữ liệu thanh toán của bất kỳ khách hàng nào bị ảnh hưởng, ngoại trừ một khách hàng duy nhất được đề cập ở trên – chúng tôi đang làm việc trực tiếp với khách hàng này để xác minh rằng khóa truy cập không bị truy cập trái phép.

Chúng tôi xin chân thành xin lỗi quý khách hàng về sự cố này và sẽ nỗ lực hết sức để đảm bảo rằng điều tương tự sẽ không bao giờ xảy ra nữa.

Chúng tôi sẽ cập nhật bài đăng này nếu có thông tin mới. Nếu bạn có thắc mắc, vui lòng liên hệ với bảo mật@ClickUp.com.