A vulnerability was found in ericc-ch copilot-api up to 0.7.0. The impacted element is the function cors of the file src/server.ts of the component Token Endpoint. Performing a manipulation results in permissive cross-domain policy with untrusted domains. It is possible to initiate the attack remotely. The exploit has been made public and could be used.
CVE-2026-6662 is a CORS misconfiguration vulnerability in ericc-ch copilot-api versions up to 0.7.0 that allows attackers to bypass cross-domain restrictions through permissive CORS policies. This vulnerability enables remote exploitation and could lead to unauthorized access to sensitive token endpoint data.
تم اكتشاف ثغرة في ericc-ch copilot-api حتى الإصدار 0.7.0 في دالة CORS بملف src/server.ts تسمح بسياسات عبر النطاقات متساهلة مع النطاقات غير الموثوقة. يمكن استغلال هذه الثغرة عن بعد وقد تم نشر طريقة الاستغلال علناً.
A CORS vulnerability in copilot-api allows attackers to bypass cross-domain security restrictions through permissive policies on the token endpoint. Remote exploitation is possible and the vulnerability has been publicly disclosed.
Update ericc-ch copilot-api to version 0.7.1 or later immediately. Implement strict CORS policies by whitelisting only trusted domains, removing wildcard (*) origins, and validating all cross-origin requests. Review and restrict access to the token endpoint to authorized applications only.
قم بتحديث ericc-ch copilot-api إلى الإصدار 0.7.1 أو أحدث فوراً. طبق سياسات CORS صارمة بإدراج النطاقات الموثوقة فقط في قائمة بيضاء وإزالة أصول البطاقة البرية وتحقق من جميع الطلبات عبر الأصول. راجع وقيد الوصول إلى نقطة نهاية التوكن للتطبيقات المصرح بها فقط.