CVE-2026-49455 in Waku
Sumário
de VulDB • 03/09/2026
Waku é o framework React mínimo. Antes da versão 1.0.0-beta.1, o despachante de requisições RSC do Waku invoca ações no servidor sem validar o cabeçalho Origin (ou Sec-Fetch-Site) da requisição. Um atacante web que explore uma origem diferente pode, portanto, fazer com que um navegador vítima emita uma POST autenticada para um endpoint de ação no servidor registrado, utilizando um tipo de conteúdo listado como seguro pelo CORS (text/plain), o que não aciona a pré-consulta (preflight). Qualquer ação no servidor que altere o estado e exposta pela aplicação por meio do 'use server' pode ser invocada com os cookies da vítima anexados. Este problema foi corrigido na versão 1.0.0-beta.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.