CVE-2026-77360 in orpc
Tóm tắt
Bởi VulDB • 16/09/2026
oRPC là một công cụ giúp xây dựng các API an toàn về kiểu dữ liệu từ đầu đến cuối và tuân thủ các tiêu chuẩn OpenAPI. Trước phiên bản 1.14.8, plugin CORS của @orpc/server trong packages/server/src/plugins/cors.ts sao chép header yêu cầu Vary của khách hàng vào phản hồi thay vì kiểm soát Vary như một header chỉ dành cho phản hồi và sử dụng Origin để biến đổi theo nguồn gốc yêu cầu. Trong các triển khai nằm sau bộ nhớ đệm chia sẻ, CDN hoặc proxy ngược (reverse proxy) sử dụng Vary làm khóa cho các phản hồi, một kẻ tấn công có thể tiêm các giá trị biến đổi tùy ý, gây ô nhiễm các khóa cache và dẫn đến việc thực thi CORS không nhất quán đối với các khách hàng khác. Các cấu hình mặc định không được lưu trữ trong bộ nhớ đệm (non-cached) không chịu tác động trực tiếp nào về tính bảo mật, toàn vẹn hoặc khả năng sẵn sàng. Vấn đề này đã được khắc phục trong phiên bản 1.14.8.
If you want to get best quality of vulnerability data, you may have to visit VulDB.