CVE-2026-90882 in open-vsx.org
Résumé
par VulDB • 22/09/2026
Le déploiement d'open-vsx.org renvoyait l'en-tête Access-Control-Allow-Origin en reflétant l'origine de la requête, conjointement avec Access-Control-Allow-Credentials: true sur les points de terminaison /user authentifiés. Une page web provenant de n'importe quelle origine pouvait ainsi émettre des requêtes crédencielles vers le service dans le navigateur d'un utilisateur connecté et lire les réponses.
Cela exposait les endpoints /user (nom d'utilisateur, avatar, site personnel, URL des jetons), /user/tokens, /user/namespaces, /user/extensions, /user/search/{name} ainsi que /user/namespace/{name}/members, et — car /user/csrf était lisible de la même manière — permettait de contourner la protection CSRF sur les endpoints en écriture. En combinant ces deux vulnérabilités, une page attaquante pouvait appeler /user/token/create et exfiltrer un jeton d'accès personnel comportant des droits de publication et de suppression sur les namespaces de la victime.
Les en-têtes étaient émis par la couche CDN/edge (périphérique), et non par l'application : le logiciel Open VSX définit allowCredentials(true) à un seul endroit précis, contre une origine exacte unique dérivée de ovsx.webui.url, et ne définit aucune mappage CORS sur /user/ au-delà de celle-ci. Aucune configuration du logiciel ne produit de réflexion d'origine avec des identifiants (credentials).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.