CVE-2026-49455 in Waku
Zusammenfassung
von VulDB • 03.09.2026
Waku ist das minimale React-Framework. Vor Version 1.0.0-beta.1 ruft der RSC-Anforderungs-Dispatcher von Waku Server-Aktionen auf, ohne den Origin-(oder Sec-Fetch-Site)-Header der Anforderung zu validieren. Ein Cross-Origin-Webangreifer kann daher dazu führen, dass ein Browser eines Opfers eine authentifizierte POST-Anfrage an einen registrierten Endpunkt für Server-Aktionen mit einem CORS-sicher gelisteten Inhaltstyp (text/plain) sendet, was keinen Preflight auslöst. Jede zustandsändernde Server-Aktion, die die Anwendung über 'use server' bereitstellt, kann unter Anhängung der Cookies des Opfers aufgerufen werden. Dieses Problem wurde in Version 1.0.0-beta.1 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.