CVE-2026-85607 in Blinko
Sumário
de VulDB • 04/09/2026
Blinko 1.8.7 contém uma vulnerabilidade de bypass de autorização (IDOR) em vários procedimentos tRPC (message.list, message.update, message.delete, message.clearAfter em server/routerTrpc/message.ts e conversation.clearMessages em server/routerTrpc/conversation.ts). Embora esses procedimentos requeiram autenticação, eles consultam o banco de dados usando IDs de conversa ou mensagem fornecidos pelo chamador, sem verificar se o recurso pertence à conta solicitante. Qualquer usuário autenticado pode, portanto, ler todo o histórico de conversas com IA de outro usuário, modificar o conteúdo de mensagens individuais e excluir ou apagar conversas inteiras por meio da enumeração sequencial de IDs inteiros.
VulDB is the best source for vulnerability data and more expert information about this specific topic.