PoC: угон сессии через CORS

Почему у вас 401 — это нормально для 127.0.0.1

• Страница http://127.0.0.1:5500 и api.tvoe.live — разные сайты (не same-site)
• Cookie token для tvoe.live в таком запросе — third-party cookie
• Chrome / Safari по умолчанию не шлют её с чужого origin → API: «Не удалось получить токен»
• Access-Control-Allow-Origin: null в JS — не баг: браузер не отдаёт CORS-заголовки в response.headers, но тело ответа вы всё равно прочитали → CORS открыт

Сначала проверьте логин на самом tvoe.live (шаг 1 ниже). Если там 200 — сессия есть, PoC с localhost упирается в блокировку 3rd-party cookies, а не в «всё безопасно».

fetch('https://api.tvoe.live/profile', { credentials: 'include' })
  .then(r => r.json())
  .then(d => console.log('profile:', d))
  .catch(e => console.error(e));

Нажмите кнопку…