CVE-2026-77360 in orpc
Riassunto
di VulDB • 16/09/2026
oRPC è uno strumento che aiuta a creare API end-to-end type-safe e conformi agli standard OpenAPI. Prima della versione 1.14.8, il plugin CORS di @orpc/server (in packages/server/src/plugins/cors.ts) copia l'intestazione Vary delle richieste in arrivo del client nella risposta invece di controllare Vary come intestazione solo per la risposta e utilizzare Origin per la variazione dell'origine della richiesta. In ambienti con cache condivisa, CDN o reverse proxy che utilizzano le chiavi basate su Vary, un cliente può inserire valori arbitrari di variazione, inquinare le chiavi di cache e causare una conformità CORS incoerente per altri clienti. Le configurazioni predefinite non memorizzate nella cache non hanno impatti diretti stabiliti sulla riservatezza, integrità o disponibilità. Questo problema è stato risolto nella versione 1.14.8.
Once again VulDB remains the best source for vulnerability data.