CVE-2026-112085
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
webpack-dev-server to serwer deweloperski zapewniający przeładowywanie na żywo dla projektów webpack. W wersjach przed 5.2.7 oraz w wersji 6.0.0, gdy wpis proxy jest skonfigurowany do przekazywania WebSocketów, serwer przekazuje żądania aktualizacji WebSocket inne niż HMR do celu proxy bez walidacji nagłówków Host lub Origin, więc ochrona allowedHosts nie ma zastosowania do tych przekazywanych aktualizacji. Złośliwa strona odwiedzona przez dewelopera może otworzyć cross-origin WebSocket przez serwer deweloperski i czytać oraz zapisywać do backendu proxy, nawet gdy serwer jest powiązany z loopback.
Ocena ryzyka
Złośliwa strona może uzyskać dostęp do backendu proxy przez serwer deweloperski dewelopera, co może prowadzić do nieautoryzowanych działań lub wycieku danych. Ryzyko dotyczy środowisk deweloperskich z przekazywaniem WebSocketów w proxy.
Rekomendacja
Zaktualizuj webpack-dev-server do wersji 5.2.7 lub 6.1.0 albo nowszej. Jako obejście pomiń przekazywanie WebSocketów w wpisach proxy, które go nie potrzebują, i ogranicz proxy do konkretnych ścieżek.
Inne podatności w webpack-dev-server
Zobacz wszystkie- CVE-2026-114348Średnie
webpack-dev-server w wersjach od 5.1.0 przed 5.2.7 oraz w wersji 6.0.0 ma nieuwierzytelniony endpoint open-editor, który waliduje nagłówek Host wyrażeniem regularnym przeznaczonym dla schematów Origin przeglądarki. Wartość Host zaczynająca się od file: lub schematu rozszerzenia omija sprawdzenia hostname i allowedHosts, a konstrukcja URL powoduje wyjątek. W domyślnym trybie nieprodukcyjnym serwer zwraca HTTP 500 z pełnym stack trace, ujawniając ścieżki systemu plików, lokalizacje modułów i numery linii.
- CVE-2026-14631Średnie
Podatność w webpack-dev-server w wersjach 5.2.5 i wcześniejszych powoduje awarię całego procesu Node.js po otrzymaniu nieautoryzowanego żądania HTTP z nieprawidłowym nagłówkiem Host lub żądania WebSocket z nieprawidłowym nagłówkiem Origin. Błąd prowadzi do nieobsłużonego wyjątku w walidacji hosta i zatrzymania serwera deweloperskiego.
- CVE-2026-14620Średnie
Podatność w webpack-dev-server w wersjach 5.2.5 i starszych umożliwia atakującemu wykonanie nieautoryzowanych akcji na serwerze deweloperskim poprzez wysłanie żądania GET do wewnętrznych endpointów. Atak może zostać przeprowadzony bez interakcji użytkownika, wystarczy, że deweloper odwiedzi złośliwą stronę podczas działania serwera.
- CVE-2026-9595Średnie
Podatność w webpack-dev-server pozwala na przechwytywanie ciasteczek przeglądarki oraz nagłówka Origin, gdy użytkownik skonfiguruje proxy z szerokim kontekstem i włączy ws: true. To prowadzi do obejścia walidacji Host/Origin oraz uszkodzenia gniazda HMR.
Oryginalny opis (angielski, źródło NVD)
webpack-dev-server is a development server that provides live reloading for webpack projects. In versions before 5.2.7 and in version 6.0.0, when a proxy entry is configured to forward WebSockets, the server forwards non-HMR WebSocket upgrade requests to the proxy target without validating the Host or Origin headers, so the allowedHosts protection does not apply to those proxied upgrades. A malicious web page visited by a developer can open a cross-origin WebSocket through the dev server and read from and write to the proxied backend, even when the server is bound to loopback. The issue is fixed in webpack-dev-server 5.2.7 and 6.1.0, where proxied WebSocket upgrades pass the same Host and Origin validation as the HMR WebSocket, and users should upgrade to one of those versions or later. As a workaround, omit WebSocket forwarding from proxy entries that do not need it and scope the proxy to specific paths.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS