CVE-2026-112085
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
webpack-dev-server to serwer programistyczny, który zapewnia ponowne ładowanie projektów webpacków na żywo. W wersjach wcześniejszych niż 5.2.7 i 6.0.0, gdy wpis proxy jest skonfigurowany do przekazywania WebSocket, serwer przekazuje żądania aktualizacji inne niż HMR WebSocket do docelowego serwera proxy bez sprawdzania nagłówków Host lub Origin, więc ochrona validHosts nie ma zastosowania do tych aktualizacji proxy. Złośliwa strona internetowa odwiedzana przez programistę może otworzyć protokół WebSocket z innego źródła za pośrednictwem serwera deweloperskiego oraz odczytywać i zapisywać dane na serwerze proxy, nawet jeśli serwer jest powiązany z pętlą zwrotną. Problem został rozwiązany w wersjach webpack-dev-server 5.2.7 i 6.1.0, gdzie aktualizacje protokołu WebSocket za pośrednictwem serwera proxy przechodzą tę samą weryfikację hosta i pochodzenia co HMR WebSocket, a użytkownicy powinni dokonać aktualizacji do jednej z tych wersji lub nowszej. Aby obejść ten problem, pomiń przekazywanie protokołu WebSocket z wpisów proxy, które tego nie potrzebują, i określ zakres proxy dla określonych ścieżek.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org