CVE-2019-9580

CVE-2019-9580 - StackStorm 利用 CORS null 源实现 RCE（ 在 2.10.3/2.9.3 之前，如果请求的来源未知，我们会返回 null。null 在某些客户端中可能导致来自未知来源的请求成功执行，从而允许针对 StackStorm API 的 XSS 式攻击的可能性。 发现者：Barak Tawily 和 Anna Tsibulskaya 使用 Firefox 的用户是受害者，使用 Chrome 的用户是攻击者 概念验证 利用 null CORS 通过向 StackStorm API 发送带有 null Origin 请求头（Origin:...