CVE-2026-65013: falha de alta gravidade em onlook repo
Onlook tRPC Insecure Direct Object Reference via multiple procedures
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
41Vexday Risk Score
Sem sinal de exploração. Ela tem prova de conceito pública.
ssvc Attendcvss 8.7epss 0.5%
da publicação à arma55 dias
Publicada no NVD22 de jul.
1ª PoC+55d
Onlook through 0.2.32, fixed in commit 423e2e9, contains a broken object level authorization vulnerability that allows authenticated attackers to access and manipulate other users' resources by supplying arbitrary UUID values to tRPC API procedures including project.get, member.remove, and chat.conversation.delete. Attackers can provide arbitrary projectId or conversationId values without authorization validation to read, modify, and delete other users' project data, members, and conversation history.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Produtos afetados
onlook · repoPoCs públicas encontradas — 2
githubgithub.com/isaca0315/CVE-2026-65013-BOLA-IDOR★ 0cve_referencegithub.com/onlook-dev/onlook/issues/3122não verificado⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.