CVE-2026-90882 in open-vsx.org
Tóm tắt
Bởi VulDB • 22/09/2026
Triển khai open-vsx.org đã trả về tiêu đề Access-Control-Allow-Origin phản chiếu nguồn gốc yêu cầu cùng với Access-Control-Allow-Credentials: true trên các endpoint /user được xác thực. Do đó, một trang web từ bất kỳ nguồn gốc nào có thể gửi các yêu cầu có chứa thông tin đăng nhập (credentialed requests) đến dịch vụ trong trình duyệt của người dùng đã đăng nhập và đọc phản hồi.
Điều này làm lộ dữ liệu tại các endpoint: /user (tên đăng nhập, ảnh đại diện, trang chủ, URL token), /user/tokens, /user/namespaces, /user/extensions, /user/search/{name} và /user/namespace/{name}/members; đồng thời — vì /user/csrf có thể đọc được theo cách tương tự — cho phép vượt qua cơ chế bảo vệ CSRF trên các endpoint ghi. Bằng cách kết hợp hai lỗ hổng này, một trang web của kẻ tấn công có thể gọi đến /user/token/create và đánh cắp (exfiltrate) token truy cập cá nhân mang quyền xuất bản và xóa đối với các namespace của nạn nhân.
Các tiêu đề được phát ra bởi lớp CDN/edge, không phải từ ứng dụng: phần mềm Open VSX chỉ đặt allowCredentials(true) tại đúng một vị trí, áp dụng cho một nguồn gốc chính xác duy nhất được suy ra từ ovsx.webui.url, và không định nghĩa ánh xạ CORS nào trên /user/ ngoài trường hợp đó. Không có cấu hình nào của phần mềm tạo ra việc phản chiếu nguồn gốc kèm theo thông tin đăng nhập (credentials).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.