CVE-2026-90882

open-vsx.org tətbiqi autentifikasiya olunmuş /user/ son nöqtələrində (endpoints), sorğu göndərən mənbəni əks etdirən Access-Control-Allow-Origin başlığı ilə birlikdə Access-Control-Allow-Credentials: true başlığını qaytarırdı. Buna görə də hər hansı bir mənbədəki səhifə daxil olmuş istifadəçinin brauzerində xidmətə kimlik məlumatları təmin edilmiş sorğular göndərə və cavabları oxuya bilərdi. Bu, /user (istifadəçi adı, avatar, ana səhifə, tokenlər URL-i), /user/tokens, /user/namespaces, /user/extensions, /user/search/{name} və /user/namespace/{name}/members məlumatlarını ifşa edirdi və /user/csrf eyni şəkildə oxuna bildiyi üçün yazma son nöqtələrindəki CSRF mühafizəsinin sıradan çıxarılmasına şərait yaradırdı. Bu iki boşluğun birləşdirilməsi ilə hücumçu səhifəsi /user/token/create funksiyasını çağıra və qurbanın ad sahələri (namespaces) üzərində paylaşım və silmə hüquqlarına malik olan fərdi giriş tokenini oğurlaya bilərdi. Başlıqlar tətbiq tərəfindən deyil, CDN/edge layı بواسطة ötürülürdü: Open VSX proqram təminatı allowCredentials(true) parametrini yalnız bir yerdə, ovsx.webui.url-dən törəmiş tək bir dəqiq mənbə üçün təyin edir və /user/ üçün bundan əlavə heç bir CORS xəritələndirməsi müəyyən etmir. Proqram təminatının heç bir konfiqurasiyası kimlik məlumatları ilə birlikdə mənbənin əks olunmasını yaratmır.