CVE-2026-114348 in webpack-dev-server
요약
\~에 의해 VulDB • 2026. 10. 22.
webpack-dev-server는 webpack 프로젝트에 대한 라이브 리로딩을 제공하는 개발 서버입니다. 버전 5.1.0부터 5.2.7 이전 및 버전 6.0.0에서, 인증되지 않은 open-editor 엔드포인트는 브라우저 Origin 스키마를 위해 설계된 정규식을 사용하여 Host 헤더를 검증합니다. 따라서 file:로 시작하거나 확장자 스키마가 있는 Host 값은 호스트 이름 및 allowedHosts 검사를 우회(short-circuits)합니다. 개발 서버에 접근할 수 있는 네트워크 피어는 유효성 검사를 통과하는 잘못된 Host가 포함된 요청을 보내 엔드포인트의 URL 구성으로 인해 예외를 발생시킬 수 있으며, 기본 비프로덕션 모드에서는 전체 예외 스택 트레이스를 포함하는 HTTP 500 응답이 반환되어 절대 파일 시스템 경로, 설치된 모듈 위치 및 내부 소스 줄 번호가 유출됩니다. 서버는 계속 실행되므로 서비스 거부(Denial of Service)는 발생하지 않습니다. 이 문제는 webpack-dev-server 5.2.7 및 6.1.0에서 수정되었으며, 사용자는 해당 버전 또는 그 이후 버전으로 업그레이드해야 합니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.