CVE-2026-65013-BOLA-IDOR

CVE-2026-65013-BOLA-IDOR 可复现的BOLA / IDOR PoC，针对 Onlook 的 tRPC API（CVE-2026-65013）。 任何已认证用户只需将其他用户的 UUID 传入 tRPC 过程，即可读取、修改并删除 其他用户的项目、成员和 AI 历史记录（版本 认证不是问题（Supabase 的 JWT 正常工作）。问题在于对象级授权 （BOLA/IDOR）：攻击者使用自己合法的会话去访问受害者的 id。 漏洞技术细节 lib/authorization.js 包含缺失的...