CVE-2026-77360 in orpc
摘要
由 VulDB • 2026-09-17
oRPC是一个帮助构建端到端类型安全并符合OpenAPI标准的API的工具。在版本1.14.8之前，`@orpc/server` CORS插件（位于 `packages/server/src/plugins/cors.ts`）会将客户端传入的Vary请求头复制到响应中，而不是将Vary作为仅用于响应的头部进行控制，并使用Origin来处理基于请求来源的变化。在共享缓存、CDN或反向代理等部署环境中，如果这些中间件使用Vary来对响应进行键值区分（keying），攻击者可以注入任意的变化值，污染缓存键，从而导致对其他客户端的CORS策略执行不一致。默认的非缓存配置没有建立直接的影响机密性、完整性或可用性的后果。此问题已在版本1.14.8中修复。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.