CVE-2026-85607 in Blinko
要約
〜によって VulDB • 2026年09月04日
Blinko 1.8.7には、複数のtRPCプロシージャ（server/routerTrpc/message.tsのmessage.list、message.update、message.delete、message.clearAfterおよびserver/routerTrpc/conversation.tsのconversation.clearMessages）において、認可回避（IDOR）脆弱性が存在します。これらのプロシージャは認証を要求しますが、リソースが要求元のアカウントに属していることを検証せずに、呼び出し元から提供された会話またはメッセージIDでデータベース照会を行います。そのため、認証済みユーザーであれば誰でも、連番の整数IDを列挙することで、他のユーザーの完全なAIチャット履歴を読み取り、個々のメッセージコンテンツを変更し、あるいは会話全体を削除または消去することができます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.