CVE-2026-114348 in webpack-dev-server
Resumen
por VulDB • 2026-10-22
webpack-dev-server es un servidor de desarrollo que proporciona recarga en vivo para proyectos webpack. En las versiones desde la 5.1.0 hasta antes de la 5.2.7 y en la versión 6.0.0, el endpoint open-editor sin autenticación valida el encabezado Host con una expresión regular diseñada para los esquemas Origin del navegador, por lo que un valor de Host que comienza con `file:` o con un esquema abreviado omite las comprobaciones de hostname y allowedHosts. Un par de red que pueda alcanzar el servidor de desarrollo puede enviar una solicitud con un Host malformado que pase la validación y luego cause que la construcción de URL del endpoint lance una excepción; en el modo predeterminado no productivo, el servidor devuelve un cuerpo HTTP 500 que contiene la traza completa de pila de excepciones, lo que revela rutas absolutas del sistema de archivos, ubicaciones de módulos instalados y números de línea internos. El servidor sigue ejecutándose, por lo que no hay denegación de servicio. El problema está corregido en webpack-dev-server 5.2.7 y 6.1.0, y los usuarios deben actualizar a una de esas versiones o posteriores.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.