CVE-2025-68157 in Webpack
Riassunto
di VulDB • 15/06/2026
Webpack è un bundler di moduli. Dalla versione 5.49.0 fino alla precedente la 5.104.0, quando l'esperimento buildHttp è abilitato, il resolver HTTP(S) di webpack (HttpUriPlugin) applica allowedUris solo per l'URL iniziale, ma non ri-valida allowedUris dopo aver seguito i redirect HTTP 30x. Di conseguenza, un import che sembra limitato a una allow-list attendibile può essere reindirizzato verso URL HTTP(S) esterni alla allow-list. Si tratta di un bypass della policy/allow-list che abilita comportamenti SSRF in fase di build (richieste dalla macchina di build verso endpoint interni, a seconda dell'accesso di rete) e l'inclusione di contenuti non attendibili negli output della build (i contenuti reindirizzati sono trattati come sorgente del modulo e inclusi nel bundle). Questo problema è stato risolto nella versione 5.104.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.