Pubblicato il 2026-07-22 · Fonte: NVD NIST
La vulnerabilità CVE-2026-65013 è una vulnerabilità di autorizzazione a livello di oggetto che colpisce Onlook fino alla versione 0.2.32. Gli attaccanti autenticati possono sfruttare questa vulnerabilità fornendo valori UUID arbitrari alle procedure API tRPC, come project.get, member.remove e chat.conversation.delete. Ciò consente loro di accedere e manipolare risorse altrui senza autorizzazione. La vulnerabilità è stata risolta nel commit 423e2e9.
Un attaccante può sfruttare questa vulnerabilità per leggere, modificare e eliminare dati di progetto, membri e storia delle conversazioni di altri utenti. Ciò può avere un impatto significativo sulla sicurezza e sulla privacy dei dati degli utenti. Gli attaccanti possono fornire valori arbitrari di projectId o conversationId senza validazione dell'autorizzazione, consentendo loro di accedere e manipolare risorse altrui.
Vendor: N/A
Prodotti: N/A
Per mitigare questa vulnerabilità, si consiglia di aggiornare Onlook alla versione più recente disponibile, che include la correzione per la vulnerabilità CVE-2026-65013. Inoltre, è importante implementare controlli di autorizzazione robusti e validare tutti gli input utente per prevenire attacchi di questo tipo. Se non è possibile aggiornare immediatamente, si possono implementare workaround come limitare l'accesso alle API tRPC o implementare un sistema di autorizzazione esterno.
La vulnerabilità CVE-2026-65013 è una vulnerabilità di autorizzazione a livello di oggetto che colpisce Onlook fino alla versione 0.2.32.
Gli attaccanti autenticati possono fornire valori UUID arbitrari alle procedure API tRPC per accedere e manipolare risorse altrui senza autorizzazione.
Per proteggersi da questa vulnerabilità, si consiglia di aggiornare Onlook alla versione più recente disponibile e implementare controlli di autorizzazione robusti e validare tutti gli input utente.
Vuoi approfondire la cybersecurity? Scopri il libro "Ethical Hacker per Tutti" oppure prenota una lezione online.