Door een kwetsbaarheid in het forum van vruchtbaarheidsapp Glow was het mogelijk om de gegevens van 25 miljoen gebruikers te achterhalen, waaronder naam, leeftijdsgroep, locatie, gebruikers-ID en door gebruikers geüploade afbeeldingen. Dat meldt onderzoeker Ovi Liber. Het beveiligingslek bevond zich in de developer API van Glow. Die bevatte een IDOR-kwetsbaarheid, waardoor het voor iedereen mogelijk was om gegevens van de 25 miljoen gebruikers op te vragen.

IDOR staat voor Insecure direct object references. Dit soort beveiligingslekken doet zich voor wanneer een webapplicatie of API een identifier gebruikt om een object in een database op te vragen zonder authenticatie of andere vorm van toegangscontrole. In dit geval werd er niet gecontroleerd of de persoon die de data opvroeg wel een geautoriseerde gebruiker of ontwikkelaar was. De onderzoeker waarschuwde Glow vorig jaar oktober. Hij stelt dat het bedrijf de kwetsbaarheid in eerste instantie ontkende. Uiteindelijk werd het probleem een week na de melding verholpen.

Wegens een datalek in de vruchtbaarheidsapp zelf betaalde Glow eind 2020 een bedrag van 250.000 dollar aan de Amerikaanse staat Californië. Volgens de procureur-generaal had Glow gebruikersgegevens niet goed beveiligd, was het mogelijk om zonder toestemming informatie van gebruikers te benaderen en was het mogelijk voor derden om de wachtwoorden van gebruikers te wijzigen.