CVE-2026-90882

open-vsx.org dağıtımı, kimlik doğrulanmış /user/ uç noktalarında, istek yapan kaynağı yansıtan Access-Control-Allow-Origin başlığını Access-Control-Allow-Credentials: true ile birlikte döndürdü. Bu nedenle, herhangi bir kaynaktaki bir sayfa, oturum açmış bir kullanıcının tarayıcısında hizmete kimlik bilgileri içeren istekler gönderebilir ve yanıtları okuyabilirdi. Bu durum; /user (kullanıcı adı, avatar, ana sayfa, tokenlar URL'si), /user/tokens, /user/namespaces, /user/extensions, /user/search/{name} ve /user/namespace/{name}/members uç noktalarını ifşa etti ve /user/csrf aynı şekilde okunabildiği için yazma uç noktalarındaki CSRF korumasının aşılmasına izin verdi. İkisini zincirleyen bir saldırgan sayfası, /user/token/create adresini çağırabilir ve kurbanın ad alanları üzerinde yayınlama ve silme haklarına sahip olan kişisel bir erişim belirtecini sızdırabilirdi. Başlıklar uygulama tarafından değil, CDN/kenar katmanı tarafından gönderilmiştir: Open VSX yazılımı, allowCredentials(true) ayarını yalnızca tek bir yerde, ovsx.webui.url üzerinden türetilen tek bir kesin kaynak için tanımlar ve bunun ötesinde /user/ üzerinde hiçbir CORS eşlemesi tanımlamaz. Yazılımın hiçbir yapılandırması, kimlik bilgileriyle birlikte kaynak yansıtma işlemi gerçekleştirmez.