Даву сказал (по желанию GitHub тяговой):


Если вы открыли доступ к rpcport, то я не думаю, что поддержка CORS добавляет существенную уязвимость к паролю скотине-форсирование. Я полагаю, это означает, что 10-летний не-программист может повторно ввести имя пользователя и пароль на веб-сайт, чтобы попытаться отладочным заставляйте rpcpassword ... но кто-то может писать или запустить сценарий мог бы просто написать грубую Forcer что не работает в браузере.

И, если подумать об этом, поворачиваясь на CORS явно не остановить десять-летний, либо: они могли бы просто повторно перейти к URL-адресу  Http: // ваш-bitcoind машина: 8332 / и попробовать различные имена пользователей / пароли.

Кроме того, bitcoind уже имеет анти-перебор форсирования кода.

Единственная уязвимость, я мог себе представить, с CORS является то, что это может стимулировать людей, чтобы добавить:
  rpcallowip = *
... их bitcoin.conf, поэтому они могут подключаться к Bitcoin с любого IP-адреса. И я волнуюсь, что они могут не беспокоить настройки SSL, в этом случае их RPC имя пользователя / пароль будет отправлен по сети в незашифрованном виде.