Eclair 0.14.4 renvoie une erreur 403 à toute requête API arrivant avec un en-tête Origin. Il ne vérifie pas la valeur de l'origine, seulement sa présence. L'API d'Eclair utilise l'authentification de base et accepte des paramètres encodés en formulaire ; une fois que le navigateur a mis en cache le mot de passe, un simple formulaire HTML sur n'importe quelle page ouverte par l'administrateur peut envoyer une requête POST vers celle-ci. Cela ne nécessite aucune autorisation CORS. La page ne peut pas lire la réponse, mais l'envoi sur la chaîne ou la fermeture du canal a déjà été effectué. Les navigateurs définissent l'en-tête Origin pour ces requêtes, tandis que curl ne le fait pas, et vérifier sa présence permet également de capturer l'origine : null envoyée par un iframe en mode sandbox. La correction a été fusionnée le 15 septembre, un jour après la balise de la version 0.14.3, et a été publiée le 15 octobre. phoenixd, issu du même équipe, accepte également des paramètres encodés en formulaire derrière une authentification de base, et je n'ai trouvé aucune vérification de l'en-tête Origin dans la version 0.9.3. Y a-t-il une raison pour laquelle phoenixd n'en a pas besoin, ou simplement n'a-t-il pas encore été identifié ?