Eclair 0.14.4 trả về 403 cho mọi yêu cầu API đến có chứa tiêu đề Origin. Nó không xem xét giá trị của origin, mà chỉ kiểm tra xem có tồn tại hay không. API của Eclair sử dụng xác thực cơ bản và nhận các tham số được mã hóa dạng form, do đó, sau khi trình duyệt đã lưu mật khẩu trong bộ nhớ đệm, bất kỳ biểu mẫu HTML đơn giản nào trên trang mà người dùng mở đều có thể POST đến nó. Điều này không cần sự phê duyệt CORS. Trang web không thể đọc phản hồi, nhưng giao dịch gửi trên chuỗi hoặc đóng kênh đã được thực hiện rồi. Trình duyệt tự động thêm tiêu đề Origin vào các yêu cầu này, trong khi curl thì không, và việc kiểm tra sự hiện diện của tiêu đề cũng bắt được cả Origin: null mà iframe trong sandbox gửi đi. Sửa lỗi đã được hợp nhất vào ngày 15 tháng Chín, một ngày sau khi phiên bản 0.14.3 được gắn thẻ, và được phát hành vào ngày 15 tháng Mười. phoenixd, đến từ cùng đội ngũ, cũng chấp nhận các tham số được mã hóa dạng form qua xác thực cơ bản, nhưng tôi không tìm thấy bất kỳ kiểm tra Origin nào trong phiên bản 0.9.3. Có lý do gì khiến phoenixd không cần kiểm tra này, hay là vấn đề này chưa được phát hiện?