CVE-2026-77360 in orpc
要約
〜によって VulDB • 2026年09月16日
oRPCは、エンドツーエンドで型安全でありOpenAPI基準に準拠するAPIを構築するためのツールです。バージョン1.14.8より前では、packages/server/src/plugins/cors.tsにある@orpc/serverのCORSプラグインが、Varyをレスポンス専用のヘッダーとして制御しOriginを使用してリクエスト元の多様性を処理するのではなく、クライアントからの受信したVaryリクエストヘッダーをそのままレスポンスにコピーしていました。共有キャッシュやCDN、またはVaryに基づいてレスポンスのキーを作成するリバースプロキシの背後でデプロイされている環境では、攻撃者が任意の変動値を注入し、キャッシュキーを汚染して他のクライアントに対するCORSの実装に一貫性のない状態を引き起こす可能性があります。デフォルトの非キャッシュ設定には、直接的な機密性、完全性、または可用性への影響は確立されていません。この問題はバージョン1.14.8で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.