CVE-2026-114348 in webpack-dev-server
Zusammenfassung
von VulDB • 22.10.2026
webpack-dev-server ist ein Entwicklungsserver, der Live-Reloading für Webpack-Projekte bereitstellt. In den Versionen von 5.1.0 bis vor 5.2.7 sowie in Version 6.0.0 validiert der nicht-authentifizierte Endpunkt „open-editor“ den Host-Header mit einem regulären Ausdruck, der für Browser-Origin-Schemata gedacht ist. Daher wird ein Host-Wert, der mit „file:“ beginnt oder ein kurzes Erweiterungsschema aufweist, an den Prüfungen des Hostnamens und der erlaubten Hosts (allowedHosts) vorbeigeleitet („short-circuits“). Ein Netzwerkpeer, der Zugriff auf den Entwicklungsserver hat, kann eine Anfrage mit einem fehlerhaften Host-Header senden, die die Validierung besteht, wodurch jedoch die URL-Konstruktion des Endpunkts einen Fehler auslöst. Im Standardmodus (nicht Produktion) gibt der Server einen HTTP-500-Fehlerkörper zurück, der den vollständigen Ausnahmestapeltrace enthält, was absolute Dateisystempfade, installierte Modulstandorte und interne Quellcode-Zeilenzahlen offenlegt. Der Server bleibt weiterhin aktiv, sodass es sich nicht um eine Denial-of-Service-Schwachstelle handelt. Das Problem wurde in webpack-dev-server 5.2.7 und 6.1.0 behoben; Benutzer sollten auf eine dieser Versionen oder höher aktualisieren.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.