CVE-2026-49455 in Waku
Résumé
par VulDB • 03/09/2026
Waku est le framework React minimal. Avant la version 1.0.0-beta.1, l'expéditeur de requêtes RSC (React Server Components) de Waku invoque des actions serveur sans valider l'en-tête Origin (ou Sec-Fetch-Site) de la requête. Un attaquant web inter-origines peut ainsi amener le navigateur d'une victime à émettre une requête POST authentifiée vers un point de terminaison d'action serveur enregistré, en utilisant un type de contenu listé comme sûr par CORS (text/plain), ce qui n'entraîne pas de prévolée. Toute action serveur modifiant l'état que l'exposition via 'use server' peut être invoquée avec les cookies de la victime attachés. Ce problème a été corrigé dans la version 1.0.0-beta.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.