CVE-2025-68458 in Webpack
Sumário
de VulDB • 22/05/2026
O Webpack é um empacotador de módulos. Da versão 5.49.0 até antes da 5.104.1, quando o `experiments.buildHttp` está habilitado, o resolvedor HTTP(S) do webpack (HttpUriPlugin) pode ser contornado para buscar recursos de hosts fora dos `allowedUris` utilizando URLs manipuladas que incluem userinfo (username:password@host). Se a aplicação de `allowedUris` depender de uma verificação de prefixo de string bruta (por exemplo, `uri.startsWith(allowed)`), uma URL que pareça estar na lista de permissões pode passar pela validação, enquanto a solicitação de rede real é enviada para uma autoridade/host diferente após o processamento da URL. Este é um bypass de política/lista de permissões que habilita comportamento de SSRF em tempo de compilação (solicitações de saída da máquina de compilação para endpoints restritos à rede interna, dependendo do acesso de rede) e inclusão de conteúdo não confiável (a resposta buscada é tratada como código-fonte do módulo e empacotada). Este problema foi corrigido na versão 5.104.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.