CVE-2026-77360
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
oRPC to narzędzie do budowania API typu end-to-end z zachowaniem standardów OpenAPI. W wersjach przed 1.14.8 wtyczka CORS @orpc/server w packages/server/src/plugins/cors.ts kopiuje nagłówek Vary przychodzącego żądania klienta do odpowiedzi, zamiast kontrolować Vary jako nagłówek tylko odpowiedzi i używać Origin do zmienności pochodzenia żądania. W środowiskach za współdzielonym cache, CDN lub reverse proxy, które używają Vary do kluczowania odpowiedzi, klient może wstrzyknąć dowolne wartości zmienności, zanieczyścić klucze cache i spowodować niespójne egzekwowanie CORS dla innych klientów.
Ocena ryzyka
W środowiskach z cache/CDN atakujący może zatruć klucze cache i wywołać niespójne egzekwowanie CORS, co może prowadzić do wycieku danych lub nieautoryzowanego dostępu. Domyślne konfiguracje bez cache nie mają bezpośredniego wpływu na poufność, integralność lub dostępność.
Rekomendacja
Należy zaktualizować @orpc/server do wersji 1.14.8 lub nowszej, która naprawia tę podatność.
Inne podatności w oRPC
Zobacz wszystkie- CVE-2026-103918Średnie
oRPC to narzędzie do budowania API typu end-to-end z bezpieczeństwem typów. W wersjach przed 1.14.10 wtyczki ZodSmartCoercionPlugin i experimental_ZodSmartCoercionPlugin zbierają właściwości obiektów w zwykłych obiektach i rozwiązują klucze kształtu przez łańcuch prototypów. Zdalny klient może dostarczyć __proto__, aby zastąpić prototyp zwracanego obiektu żądania, co pozwala na wstrzyknięcie dziedziczonych wartości do wyszukiwań aplikacji.
- CVE-2026-103036Średnie
oRPC to narzędzie do budowania API typu end-to-end z bezpieczeństwem typów. W wersjach przed 1.14.9 wtyczka @orpc/json-schema SmartCoercionPlugin używa JsonSchemaCoercer do zbierania właściwości obiektów w zwykłym obiekcie i rozwiązywania wpisów schema.properties przez łańcuch prototypów. Zdalny klient może dostarczyć __proto__, aby zastąpić prototyp pojedynczego koercedowanego obiektu żądania lub podać nazwy członków Object.prototype, takich jak constructor i toString, aby dziedziczone wartości były traktowane jako podschematy.
Oryginalny opis (angielski, źródło NVD)
oRPC is an tool that helps build APIs that are end-to-end type-safe and adhere to OpenAPI standards. Prior to 1.14.8, the @orpc/server CORS plugin in packages/server/src/plugins/cors.ts copies a client's incoming Vary request header into the response instead of controlling Vary as a response-only header and using Origin for request-origin variation. In deployments behind a shared cache, CDN, or reverse proxy that keys responses using Vary, a client can inject arbitrary variation values, pollute cache keys, and cause inconsistent CORS enforcement for other clients. Default non-cached configurations have no established direct confidentiality, integrity, or availability impact. This issue is fixed in version 1.14.8.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS