CVE-2025-63783

Nome do Software Vulnerável e Versões Afetadas Aplicação web Onlook versão 0.2.32

Descrição Existe uma vulnerabilidade de Autorização Quebrada em Nível de Objeto (BOLA) nas APIs de mutação de projeto tRPC (update, delete, add/remove tag) da aplicação web Onlook. A API não valida corretamente se o usuário autenticado é o proprietário ou possui membresia para o ID do projeto fornecido. Um atacante pode enviar uma requisição com o ID do projeto de outro usuário para modificar, excluir ou manipular tags, comprometendo potencialmente a integridade e a disponibilidade dos dados. Os endpoints de API vulneráveis incluem APIs de mutação como update, delete e add/remove tag. A variável project ID é utilizada nas requisições para esses endpoints e não é validada suficientemente.

Recomendações Atualize para uma versão mais recente que contenha uma correção para esta vulnerabilidade.