CVE-2026-90882

Nome do Software Vulnerável e Versões Afetadas open-vsx.org (versões afetadas não especificadas)

Description A implantação do serviço retornava um cabeçalho Access-Control-Allow-Origin que refletia a origem solicitante combinada com Access-Control-Allow-Credentials: true em endpoints autenticados. Essa configuração, causada pela camada de CDN/edge e não pelo software da aplicação, permitia que páginas de qualquer origem realizassem requisições com credenciais no navegador de um usuário logado e lessem as respostas. Os endpoints afetados incluem '/user', '/user/tokens', '/user/namespaces', '/user/extensions', '/user/search/{name}' e '/user/namespace/{name}/members'. Além disso, como o endpoint '/user/csrf' era legível, as proteções contra Cross-Site Request Forgery (CSRF) em endpoints de escrita podiam ser burladas. Um invasor poderia utilizar isso para chamar '/user/token/create' e exfiltrar um token de acesso pessoal com direitos de publicação e exclusão nos namespaces da vítima.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Rotacione os tokens de acesso pessoal utilizados para publicar extensões.