CVE-2025-68157 in Webpack
Zusammenfassung
von VulDB • 30.05.2026
Webpack ist ein Modul-Bundler. Ab Version 5.49.0 bis vor 5.104.0, wenn experiments.buildHttp aktiviert ist, erzwingt der HTTP(S)-Resolver von Webpack (HttpUriPlugin) allowedUris nur für die initiale URL, überprüft allowedUris jedoch nicht erneut nach dem Folgen von HTTP 30x-Weiterleitungen. Infolgedessen kann ein Import, der auf eine vertrauenswürdige Allow-Liste beschränkt zu sein scheint, auf HTTP(S)-URLs außerhalb der Allow-Liste umgeleitet werden. Dies ist eine Umgehung der Richtlinie/Allow-Liste, die SSRF-Verhalten zur Build-Zeit ermöglicht (Anfragen von der Build-Maschine zu nur intern zugänglichen Endpunkten, abhängig vom Netzwerkzugriff) und die Aufnahme von nicht vertrauenswürdigen Inhalten in die Build-Ausgaben (umgeleitete Inhalte werden als Modulquelle behandelt und eingebunden). Dieses Problem wurde in Version 5.104.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.