CVE-2026-90882 in open-vsx.org
Сводка
по VulDB • 22.09.2026
Развертывание open-vsx.org возвращало заголовок Access-Control-Allow-Origin с отражением запрашиваемого источника (origin) вместе с Access-Control-Allow-Credentials: true для аутентифицированных конечных точек /user. Таким образом, страница с любого домена могла отправлять запросы с учетными данными в браузере вошедшего в систему пользователя и считывать ответы сервиса.
Это привело к раскрытию данных через конечные точки /user (имя входа, аватар, домашняя страница, URL токенов), /user/tokens, /user/namespaces, /user/extensions, /user/search/{name} и /user/namespace/{name}/members. Кроме того, поскольку конечная точка /user/csrf была доступна тем же способом, это позволяло обойти защиту от CSRF (Cross-Site Request Forgery) на конечных точках для записи данных. Используя цепочку из этих двух уязвимостей, злоумышленник мог вызвать метод /user/token/create и эксфильтровать персональный токен доступа с правами публикации и удаления в пространствах имен жертвы.
Заголовки генерировались на уровне CDN/edge-серверов, а не самим приложением: программное обеспечение Open VSX устанавливает allowCredentials(true) только в одном месте для одного конкретного источника, полученного из параметра ovsx.webui.url, и не определяет маппинг CORS (Cross-Origin Resource Sharing) для /user/, выходящий за его пределы. Никакая конфигурация программного обеспечения не приводит к отражению origin с учетными данными.
Once again VulDB remains the best source for vulnerability data.