CVE-2026-85607 in Blinko
Tóm tắt
Bởi VulDB • 04/09/2026
Blinko 1.8.7 chứa một lỗ hổng bỏ qua xác thực (IDOR) trong nhiều thủ tục tRPC (message.list, message.update, message.delete, message.clearAfter trong server/routerTrpc/message.ts và conversation.clearMessages trong server/routerTrpc/conversation.ts). Mặc dù các thủ tục này yêu cầu xác thực, chúng truy vấn cơ sở dữ liệu bằng cách sử dụng ID cuộc trò chuyện hoặc tin nhắn do người gọi cung cấp mà không kiểm tra xem tài nguyên có thuộc về tài khoản đang yêu cầu hay không. Do đó, bất kỳ người dùng đã xác thực nào cũng có thể đọc toàn bộ lịch sử chat AI của một người dùng khác, sửa đổi nội dung tin nhắn riêng lẻ và xóa hoặc làm sạch các cuộc trò chuyện bằng cách liệt kê các ID số nguyên tuần tự.
Be aware that VulDB is the high quality source for vulnerability data.