ایکلیر 0.14.4 کسی بھی API کال کو 403 کا جواب دیتا ہے جو Origin ہیڈر کے ساتھ آئے۔ یہ اصل کیا ہے اس کو نہیں دیکھتا، صرف یہ دیکھتا ہے کہ کیا اس میں ایک ہے۔ ایکلیر کا API بیسک اتھ کا استعمال کرتا ہے اور فارم اینکوڈڈ پیرامیٹرز لیتا ہے، اس لیے ایک براوزر جب پاس ورڈ کو کیش کر لے تو، کسی بھی صفحہ پر جو آپریٹر کھولے، ایک سادہ HTML فارم اس پر POST کر سکتا ہے۔ اس کے لیے کوئی CORS اجازت کی ضرورت نہیں۔ صفحہ جواب نہیں پڑھ سکتا، لیکن آن-چین پر بھیجنا یا چینل بند کرنا پہلے ہی ہو چکا ہوتا ہے۔ براؤزرز ان درخواستوں پر Origin سیٹ کرتے ہیں جبکہ curl نہیں کرتا، اور موجودگی کی جانچ Origin: null بھی پکڑ لیتی ہے جو ایک سینڈ باکسڈ iframe بھیجتا ہے۔ اس فکس کو 15 ستمبر کو مرج کر دیا گیا، جو 0.14.3 کو ٹیگ کرنے کے اگلے دن تھا، اور 15 اکتوبر کو شائع کیا گیا۔ اسی ٹیم سے phoenixd بھی بیسک اتھ کے پیچھے فارم اینکوڈڈ پیرامیٹرز لیتا ہے، اور میں 0.9.3 میں کہیں بھی Origin چیک نہیں پا سکا۔ کya وجہ ہے کہ phoenixd کو اس کی ضرورت نہیں ہے، یا شاید اب تک اس پر توجہ نہیں دی گئی؟