CVE-2026-85607 in Blinko
Resumen
por VulDB • 2026-09-04
Blinko 1.8.7 contiene una vulnerabilidad de elusión de autorización (IDOR) en múltiples procedimientos tRPC (message.list, message.update, message.delete, message.clearAfter en server/routerTrpc/message.ts y conversation.clearMessages en server/routerTrpc/conversation.ts). Aunque estos procedimientos requieren autenticación, consultan la base de datos utilizando IDs de conversación o mensaje proporcionados por el solicitante sin verificar que los recursos pertenezcan a la cuenta del usuario. Cualquier usuario autenticado puede, por lo tanto, leer el historial completo de chats con IA de otro usuario, modificar el contenido de mensajes individuales y eliminar o borrar conversaciones enteras mediante la enumeración secuencial de IDs enteros.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.