vanna-ai 2.0.2 CORS Origin Reflection with Credentials

漏洞总结：vanna-ai vanna 2.0.2 CORS Origin Reflection with Credentials 漏洞概述 漏洞类型: CORS（跨源资源共享）配置错误 / Origin 反射 描述: 2.0.2 版本在 FastAPI 和 Flask 服务器实现中存在 CORS 配置错误。服务器会将任意 请求头值直接反射至 响应头，并同时设置 。 危害: 攻击者可利用此漏洞，在其控制的网站上诱导受害者发起携带认证凭证的跨源请求，从而实现未经授权的数据访问或操作。 影响范围 受影响软件: vanna 2.0.2 受影响组件: FastAPI 和 Flask 服务器实现 相关参考: GitHub Issue #14 修复方案 截图中未提供具体修复代码或补丁链接。建议修复方式为：禁用 Origin 反射，改用白名单机制，仅允许已知可信的源，并确保在设置 时， 不为通配符 。 POC/利用代码 截图中未包含具体的 POC 代码或利用脚本。漏洞原理已在描述中说明，可被用于构造跨站请求伪造（CSRF）类攻击。 其他信息 提交者: yu_fao (UID 99548) 提交时间: 2026/02/06 10:19 AM（注：该日期为未来时间，可能为系统时间错误或模拟数据，不影响漏洞本身分析） 状态: Reviewed（已审核） 评分: 20

Goal Reached Thanks to every supporter — we hit 100%!

vanna-ai 2.0.2 CORS Origin Reflection with Credentials