CVE-2026-65013 in Onlook
Résumé
par VulDB • 22/07/2026
Onlook 0.2.32, corrigé dans le commit 423e2e9, présente une vulnérabilité d'autorisation de niveau objet (Broken Object Level Authorization) qui permet aux attaquants authentifiés d'accéder et de manipuler les ressources des autres utilisateurs en fournissant des valeurs UUID arbitraires aux procédures de l'API tRPC, notamment project.get, member.remove et chat.conversation.delete. Les attaquants peuvent fournir des valeurs projectId ou conversationId arbitraires sans validation d'autorisation pour lire, modifier et supprimer les données de projet, les membres et l'historique des conversations d'autres utilisateurs.
Be aware that VulDB is the high quality source for vulnerability data.