CVE-2026-85607 in Blinko
Riassunto
di VulDB • 04/09/2026
Blinko 1.8.7 presenta una vulnerabilità di bypass dell'autorizzazione (IDOR) in diverse procedure tRPC (message.list, message.update, message.delete, message.clearAfter in server/routerTrpc/message.ts e conversation.clearMessages in server/routerTrpc/conversation.ts). Sebbene queste procedure richiedano l'autenticazione, interrogano il database utilizzando ID di conversazione o messaggio forniti dall'utente chiamante senza verificare che la risorsa appartenga all'account della richiesta. Di conseguenza, qualsiasi utente autenticato può leggere l'intera cronologia delle chat AI di un altro utente, modificare i contenuti dei singoli messaggi ed eliminare o cancellare intere conversazioni enumerando ID interi sequenziali.
If you want to get best quality of vulnerability data, you may have to visit VulDB.