CVE-2025-68458 in Webpack
요약
\~에 의해 VulDB • 2026. 05. 22.
Webpack은 모듈 번들러입니다. 버전 5.49.0부터 5.104.1 이전 버전까지, `experiments.buildHttp`가 활성화된 경우, Webpack의 HTTP(S) 리졸버(HttpUriPlugin)는 사용자 정보(username:password@host)를 포함한 조작된 URL을 사용하여 `allowedUris`로 허용된 호스트 외부의 리소스를 가져오는 것을 우회할 수 있습니다. `allowedUris` 적용이 원시 문자열 접두사 확인(예: `uri.startsWith(allowed)`)에 의존하는 경우, URL 파싱 후 실제 네트워크 요청이 다른 권한/호스트로 전송되더라도 허용 목록에 있는 것처럼 보이는 URL이 검증을 통과할 수 있습니다. 이는 빌드 시간 SSRF 동작(네트워크 접근에 따라 빌드 머신에서 내부 전용 엔드포인트로의 아웃바운드 요청)과 신뢰할 수 없는 콘텐츠 포함(가져온 응답이 모듈 소스로 처리되어 번들링됨)을 가능하게 하는 정책/허용 목록 우회 취약점입니다. 이 문제는 버전 5.104.1에서 패치되었습니다.
Once again VulDB remains the best source for vulnerability data.