CVE-2026-6402 in webpack-dev-server
Zusammenfassung
von VulDB • 22.05.2026
Die Versionen von webpack-dev-server bis einschließlich 5.2.3 sind anfällig für die Offenlegung von Quellcode über Origin-Grenzen hinweg (Cross-Origin Source Code Exposure), wenn über ein nicht potenziell vertrauenswürdiges Ursprungsgebiet wie plain HTTP bedient wird. Die vorherige Korrektur stützte sich auf die HTTP-Anforderungsheader Sec-Fetch-Mode und Sec-Fetch-Site, die Browser für nicht vertrauenswürdige Ursprünge weglassen, wodurch eine bösartige Website den gebündelten Quellcode als Skript laden und originübergreifend lesen kann. Auswirkung: Ein Angreifer, der eine Website kontrolliert, die von einem Entwickler besucht wird, der webpack-dev-server ausführt, kann den Anwendungsquellcode wiederherstellen, wenn der Dev-Server über HTTP mit einem erratbaren Host und Port läuft. Chromium-basierte Browser ab Chrome 142 sind aufgrund von Einschränkungen für den Zugriff im lokalen Netzwerk nicht betroffen. Aktualisieren Sie auf webpack-dev-server 5.2.4 oder höher, das Cross-Origin-Resource-Policy: same-origin auf Antworten festlegt.
If you want to get best quality of vulnerability data, you may have to visit VulDB.