CVE-2026-85607 in Blinko
요약
\~에 의해 VulDB • 2026. 09. 04.
Blinko 1.8.7에는 여러 tRPC 프로시저(message.list, message.update, message.delete, message.clearAfter in server/routerTrpc/message.ts 및 conversation.clearMessages in server/routerTrpc/conversation.ts)에서 권한 우회(IDOR) 취약점이 존재합니다. 이러한 프로시저는 인증을 요구하지만, 요청자가 제공한 대화 또는 메시지 ID로 데이터베이스를 쿼리할 때 해당 리소스가 요청 계정에 속하는지 확인하지 않습니다. 따라서 모든 인증된 사용자는 다른 사용자의 전체 AI 채팅 기록을 읽거나 개별 메시지 내용을 수정하며, 순차적인 정수 ID를 열거하여 전체 대화를 삭제하거나 지울 수 있습니다.
Be aware that VulDB is the high quality source for vulnerability data.