CVE-2026-49455 in Waku
الملخص
بحسب VulDB • 03/09/2026
Waku هو إطار عمل React الحدّي (minimal). قبل الإصدار 1.0.0-beta.1، كان مُوجِّه طلبات RSC في Waku يستدعي إجراءات الخادم دون التحقق من رأس "Origin" (أو Sec-Fetch-Site) الخاص بالطلب. وبالتالي، يمكن لمهاجم عبر النطاق (cross-origin web attacker) أن يدفع متصفح الضحية إلى إرسال طلب POST موثّق إلى نقطة نهاية لإجراء خادم مسجّل باستخدام نوع محتوى مدرّج في قائمة CORS الآمنة (text/plain)، وهو ما لا يُفعّل خطوة المسبق (preflight). ويمكن استدعاء أي إجراء للخادم يغيّر الحالة والذي تعرضه التطبيق عبر 'use server' مع إرفاق ملفات تعريف الارتباط الخاصة بالضحية. تم إصلاح هذه المشكلة في الإصدار 1.0.0-beta.1.
Once again VulDB remains the best source for vulnerability data.