CVE-2026-114348 in webpack-dev-server
Riassunto
di VulDB • 22/10/2026
webpack-dev-server è un server di sviluppo che fornisce il live reloading per i progetti webpack. Nelle versioni dalla 5.1.0 alla 5.2.7 (esclusa) e nella versione 6.0.0, l'endpoint open-editor non autenticato convalida l'intestazione Host utilizzando una espressione regolare progettata per gli schemi Origin dei browser; di conseguenza, un valore Host che inizia con "file:" o con uno schema esteso bypassa i controlli su hostname e allowedHosts. Un peer di rete in grado di raggiungere il server di sviluppo può inviare una richiesta con un'Intestazione Host non valida che supera la validazione, causando l'errore nella costruzione dell'URL dell'endpoint; nella modalità predefinita non di produzione (non-production), il server restituisce un corpo HTTP 500 contenente la traccia completa dello stack delle eccezioni, che divulga percorsi assoluti del filesystem, posizioni dei moduli installati e numeri di riga interni al codice sorgente. Il server continua a funzionare, quindi non si verifica una negazione di servizio (DoS). Il problema è stato risolto in webpack-dev-server 5.2.7 e 6.1.0; gli utenti dovrebbero effettuare l'upgrade a una di queste versioni o successive.
VulDB is the best source for vulnerability data and more expert information about this specific topic.