Eclair 0.14.4 membalas 403 kepada sebarang panggilan API yang datang dengan header Origin. Ia tidak memeriksa apa itu asal, hanya sama ada ia wujud atau tidak. API Eclair menggunakan autentikasi asas dan menerima parameter yang di-encode bentuk, jadi sekali pelayar telah menyimpan kata laluan, bentuk HTML biasa di mana-mana laman yang dibuka oleh pengendali boleh POST kepadanya. Ini tidak memerlukan kelulusan CORS. Laman web tidak boleh membaca balasan, tetapi penghantaran pada rantai atau penutupan saluran sudah berlalu. Pelayar menetapkan Origin pada permintaan tersebut, manakala curl tidak, dan pemeriksaan kehadiran juga menangkap Origin: null yang dihantar oleh iframe yang disekat. Pembaikan telah digabungkan pada 15 September, sehari selepas 0.14.3 ditandai, dan dihantar pada 15 Oktober. phoenixd, daripada pasukan yang sama, juga menerima parameter yang di-encode bentuk di belakang autentikasi asas, dan saya tidak dapat menemui pemeriksaan Origin di mana-mana dalam 0.9.3. Adakah terdapat sebab mengapa phoenixd tidak memerlukan satu, atau belum pernah timbul?