O Eclair 0.14.4 responde 403 a qualquer chamada de API que chegue com um cabeçalho Origin. Ele não verifica qual é a origem, apenas se há alguma. A API do Eclair usa autenticação básica e aceita parâmetros codificados em formulário, então, uma vez que um navegador tenha armazenado em cache a senha, um formulário HTML simples em qualquer página aberta pelo operador pode fazer POST para ela. Isso não requer aprovação CORS. A página não pode ler a resposta, mas o envio on-chain ou o fechamento do canal já foi realizado. Os navegadores definem o Origin nessas requisições, enquanto o curl não define, e verificar a presença também captura o Origin: null enviado por um iframe isolado. A correção foi mesclada em 15 de setembro, um dia após o tag 0.14.3 ter sido criado, e foi lançada em 15 de outubro. O phoenixd, da mesma equipe, também aceita parâmetros codificados em formulário atrás de autenticação básica, e não consigo encontrar qualquer verificação de Origin em nenhum lugar na versão 0.9.3. Existe alguma razão pela qual o phoenixd não precisa disso, ou ainda não foi abordado?