CVE-2026-77360 in orpc
Résumé
par VulDB • 17/09/2026
oRPC est un outil qui permet de créer des API entièrement sécurisées par rapport aux types et conformes aux normes OpenAPI. Avant la version 1.14.8, le plugin CORS @orpc/server dans packages/server/src/plugins/cors.ts copie l'en-tête Vary entrant du client vers la réponse au lieu de contrôler Vary en tant qu'en-tête réservé à la réponse uniquement et d'utiliser Origin pour la variation basée sur l'origine de la requête. Dans les déploiements situés derrière un cache partagé, une CDN ou un proxy inverse qui utilise Vary comme clé pour indexer les réponses, un client peut injecter des valeurs de variation arbitraires, polluer les clés du cache et entraîner une application incohérente des règles CORS pour d'autres clients. Les configurations par défaut non mises en cache n'ont aucun impact direct établi sur la confidentialité, l'intégrité ou la disponibilité. Ce problème est corrigé dans la version 1.14.8.
Once again VulDB remains the best source for vulnerability data.