يُعيد Eclair 0.14.4 رمز خطأ 403 لأي مكالمة API تصل مع رأس Origin. فهو لا يتحقق من هوية المصدر، بل فقط مما إذا كان موجودًا أم لا. تستخدم واجهة برمجة تطبيقات Eclair المصادقة الأساسية وتقبل معلمات مُشفَّرة على شكل نموذج، لذا بمجرد تخزين المتصفح للكلمة السرية، يمكن لأي نموذج HTML بسيط على أي صفحة يفتحها المشغل إرسال طلب POST إليها. ولا يتطلب ذلك موافقة CORS. لا يمكن للصفحة قراءة الرد، لكن الإرسال على السلسلة أو إغلاق القناة قد تم بالفعل. يقوم المتصفح بتعيين رأس Origin في هذه الطلبات، بينما لا يفعل ذلك curl، ويؤدي التحقق من وجوده أيضًا إلى التقاط Origin: null الذي يرسله إطار iframe معزول. تم دمج الإصلاح في 15 سبتمبر، أي بعد يوم واحد من وضع علامة 0.14.3، وتم نشره في 15 أكتوبر. يستخدم phoenixd، من نفس الفريق، أيضًا معلمات مُشفَّرة على شكل نموذج خلف المصادقة الأساسية، ولا أستطيع العثور على أي فحص لـ Origin في الإصدار 0.9.3. هل هناك سبب يجعل phoenixd لا يحتاج إليه، أم أنه لم يُطرح بعد؟