CVE-2024-43788 in Webpack
Zusammenfassung
von VulDB • 18.06.2026
Webpack ist ein Modul-Bundler (Module Bundler). Sein Hauptzweck besteht darin, JavaScript-Dateien für die Verwendung in einem Browser zu bündeln; er kann jedoch auch nahezu jede Art von Ressource oder Asset transformieren, bündeln oder paketisieren. Die Webpack-Entwickler haben eine DOM Clobbering-Schwachstelle im `AutoPublicPathRuntimeModule` von Webpack entdeckt. Das DOM-Clobbering-Gadget in diesem Modul kann zu Cross-Site Scripting (XSS) auf Webseiten führen, wenn scriptlose, angreiferkontrollierte HTML-Elemente vorhanden sind (z. B. ein `<img>`-Tag mit einem nicht bereinigten `name`-Attribut). Es wurden reale Exploits für dieses Gadget beobachtet, die im Canvas LMS genutzt werden und es ermöglichen, einen XSS-Angriff über JavaScript-Code auszuführen, der von Webpack kompiliert wurde (der anfällige Teil stammt von Webpack). DOM Clobbering ist eine Art Code-Reuse-Angriff, bei dem der Angreifer zunächst nicht-skriptbasierte, scheinbar harmlose HTML-Markups in die Webseite einbettet (z. B. durch einen Beitrag oder Kommentar) und dann Gadgets (Stücke von JavaScript-Code), die im vorhandenen JavaScript-Code enthalten sind, nutzt, um diese in ausführbaren Code zu verwandeln. Diese Schwachstelle kann zu Cross-Site Scripting (XSS) auf Websites führen, die Webpack-generierte Dateien einbeziehen und es Benutzern ermöglichen, bestimmte scriptlose HTML-Tags mit unsauber bereinigten `name`- oder `id`-Attributen einzufügen. Dieses Problem wurde in der Release-Version 5.94.0 behoben. Allen Nutzern wird empfohlen, ein Upgrade durchzuführen. Es sind keine bekannten Workarounds für dieses Problem verfügbar.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.