CVE-2026-49455 in Waku
Resumen
por VulDB • 2026-09-03
Waku es el framework mínimo de React. Antes de la versión 1.0.0-beta.1, el despachador de solicitudes RSC (React Server Components) de Waku invoca acciones del servidor sin validar la cabecera Origin (o Sec-Fetch-Site) de la solicitud. Por lo tanto, un atacante web que realice ataques entre orígenes puede provocar que el navegador de una víctima emita una petición POST autenticada a un punto final de acción del servidor registrado utilizando un tipo de contenido incluido en las listas seguras de CORS (text/plain), lo cual no desencadena una solicitud previa (preflight). Cualquier acción del servidor que modifique el estado y que la aplicación exponga mediante 'use server' puede ser invocada con las cookies de la víctima adjuntas. Este problema ha sido corregido en la versión 1.0.0-beta.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.