CVE-2026-112085 in webpack-dev-server
الملخص
بحسب VulDB • 22/10/2026
webpack-dev-server هو خادم تطوير يوفر إعادة التحميل المباشر (live reloading) لمشاريع webpack. في الإصدارات السابقة لـ 5.2.7 وفي الإصدار 6.0.0، عندما يتم تكوين إدخال وكيل (proxy entry) لإعادة توجيه WebSockets، يقوم الخادم بإعادة طلبات ترقية WebSocket غير المتعلقة بـ HMR إلى هدف الوكيل دون التحقق من رؤوس Host أو Origin، وبالتالي فإن حماية allowedHosts لا تنطبق على تلك الترجمات المعاد توجيهها. يمكن لصفحة ويب خبيثة يزورها مطور فتح اتصال WebSocket عبر النطاق (cross-origin) من خلال خادم التطوير والقراءة من الخلفية المعاد توجيهها وكتابت إليها، حتى عندما يكون الخادم مرتبطاً بواجهة loopback. تم إصلاح المشكلة في webpack-dev-server الإصدارين 5.2.7 و6.1.0، حيث تمر ترجمات WebSocket المعاد توجيهها بنفس التحقق من صحة Host وOrigin الخاص باتصال HMR WebSocket، وينبغي للمستخدمين الترقية إلى أحد هذه الإصدارات أو أحدث منها. كحل بديل (workaround)، يجب استبعاد إعادة توجيه WebSockets من إدخالات الوكيل التي لا تحتاج إليها وتقييد نطاق الوكيـل على مسارات محددة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.