CVE-2026-110774
Beschrijving NL
Blinko tot en met 1.8.8 bevat een kwetsbaarheid voor gebroken toegangscontrole in de /api/bestandsroute waarmee geverifieerde gebruikers privébijlagen van andere gebruikers kunnen lezen vanwege een gebrekkige controle van de eigenaar. Aanvallers kunnen de opgeslagen bestandsnaam van een andere gebruiker opgeven, volgens een basisnaam plus milliseconde-tijdstempelpatroon, om privé, niet-gedeelde bijlagen te downloaden.
Origineel (Engels) tonen
Blinko through 1.8.8 contains a broken access control vulnerability in the /api/file route that allows authenticated users to read other users' private attachments due to a flawed owner check. Attackers can supply another user's stored filename, following a basename plus millisecond-timestamp pattern, to download private, non-shared attachments.