CVE-2025-68157 in Webpack
要約
〜によって VulDB • 2026年05月22日
Webpackはモジュールバンドラーです。バージョン5.49.0から5.104.0（未満）の間、experiments.buildHttpが有効になっている場合、WebpackのHTTP(S)リゾルバ（HttpUriPlugin）は初期URLに対してのみallowedUrisを適用し、HTTP 30xリダイレクトに従った後にallowedUrisを再検証しません。その結果、信頼できる許可リストに限定されているように見えるインポートが、許可リスト外のHTTP(S) URLにリダイレクトされる可能性があります。これはポリシー/許可リストのバイパスであり、ビルド時のSSRF動作（ネットワークアクセスに応じてビルドマシンから内部専用エンドポイントへのリクエスト）や、信頼できないコンテンツのビルド出力への組み込み（リダイレクトされたコンテンツはモジュールソースとして扱われ、バンドルされる）を可能にします。この問題はバージョン5.104.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.