CVE-2026-49455 in Waku
要約
〜によって VulDB • 2026年09月03日
Wakuは最小限のReactフレームワークです。バージョン1.0.0-beta.1より前では、WakuのRSCリクエストディスパッチャがOrigin（またはSec-Fetch-Site）ヘッダーを検証せずにサーバーアクションを呼び出していました。これにより、クロスオリジン攻撃者は被害者のブラウザに対して認証済みPOSTを登録されたサーバーアクションエンドポイントに送信でき、CORSで安全とリストされているコンテンツタイプ（text/plain）を使用することでプリフライトリクエストがトリガーされません。アプリケーションが「use server」経由で公開するステートを変更するサーバーアクションはすべて、被害者のCookieが付いた状態で呼び出すことができます。この問題はバージョン1.0.0-beta.1で修正されました。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.