CVE-2026-49455
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
W frameworku Waku (minimalny framework React) przed wersją 1.0.0-beta.1, dyspozytor żądań RSC wywołuje akcje serwera bez weryfikacji nagłówka Origin (lub Sec-Fetch-Site). Atakujący z innego originu może spowodować, że przeglądarka ofiary wyśle uwierzytelnione żądanie POST do zarejestrowanego endpointu akcji serwera z typem treści dozwolonym przez CORS (text/plain), co nie wywołuje preflight. Każda akcja serwera zmieniająca stan, wystawiona przez aplikację za pomocą 'use server', może zostać wywołana z ciasteczkami ofiary.
Ocena ryzyka
Atak CSRF może prowadzić do nieautoryzowanych zmian stanu w aplikacji, takich jak modyfikacja danych, zmiana ustawień lub wykonanie niepożądanych operacji w imieniu ofiary.
Rekomendacja
Zaktualizuj Waku do wersji 1.0.0-beta.1 lub nowszej, która zawiera poprawkę weryfikacji nagłówka Origin.
Inne podatności w Waku
Oryginalny opis (angielski, źródło NVD)
Waku is the minimal React framework. Prior to version 1.0.0-beta.1, Waku's RSC request dispatcher invokes server actions without validating the request's Origin (or Sec-Fetch-Site) header. A cross-origin web attacker can therefore cause a victim browser to issue an authenticated POST to a registered server action endpoint using a CORS-safelisted content type (text/plain), which does not trigger a preflight. Any state-mutating server action that the application exposes via 'use server' can be invoked with the victim's cookies attached. This issue has been patched in version 1.0.0-beta.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS