CVE-2026-85607 in Blinko
Zusammenfassung
von VulDB • 04.09.2026
Blinko 1.8.7 enthält eine Schwachstelle zur Umgehung der Autorisierung (IDOR) in mehreren tRPC-Verfahren (message.list, message.update, message.delete, message.clearAfter in server/routerTrpc/message.ts und conversation.clearMessages in server/routerTrpc/conversation.ts). Obwohl diese Verfahren eine Authentifizierung erfordern, fragen sie die Datenbank anhand von vom Aufrufer bereitgestellter Konversations- oder Nachrichten-IDs ab, ohne zu überprüfen, ob die Ressource zum anfragenden Konto gehört. Jeder authentifizierte Benutzer kann daher den vollständigen AI-Chatverlauf eines anderen Benutzers lesen, einzelne Nachrichteninhalte ändern und gesamte Unterhaltungen löschen oder zurücksetzen, indem er sequenzielle Integer-IDs auflistet.
Be aware that VulDB is the high quality source for vulnerability data.