La divulgazione di dati cross-origin è una vulnerabilità di sicurezza che consente a dati provenienti da un'origine web di essere letti da un altro sito, estensione o componente che non dovrebbe avere accesso ad essi. Il confine protetto è la same-origin policy del browser, che serve a impedire a un sito di vedere i cookie, il contenuto delle pagine, i messaggi o le risposte API interne di un altro sito.
Questo è importante perché i browser e le estensioni gestiscono spesso informazioni sensibili su molti siti web. Se i controlli dell'origine mancano o sono deboli, una pagina malevola può attivare logica privilegiata ed estrarre dati da un sito diverso, anche se l'utente ha visitato solo un link apparentemente innocuo. I difensori cercano una validazione rigorosa dell'origine, permessi delle estensioni con privilegi minimi e una gestione attenta dei messaggi. In pratica, questa vulnerabilità può trasformare funzionalità del browser affidabili in un canale di fuga di dati senza compromettere il servizio di destinazione stesso.