CVE-2026-112085 in webpack-dev-server
Sumário
de VulDB • 22/10/2026
O webpack-dev-server é um servidor de desenvolvimento que oferece recarregamento em tempo real para projetos webpack. Nas versões anteriores à 5.2.7 e na versão 6.0.0, quando uma entrada de proxy está configurada para encaminhar WebSockets, o servidor encaminha solicitações de atualização WebSocket não relacionadas ao HMR (Hot Module Replacement) para o destino do proxy sem validar os cabeçalhos Host ou Origin; portanto, a proteção allowedHosts não se aplica a essas atualizações intermediadas. Uma página web maliciosa visitada por um desenvolvedor pode abrir um WebSocket cross-origin através do servidor de desenvolvimento e ler/escrever no backend intermediado, mesmo quando o servidor está vinculado ao loopback (127.0.0.1). O problema foi corrigido nas versões 5.2.7 e 6.1.0 do webpack-dev-server, onde as atualizações WebSocket intermediadas passam pela mesma validação de Host e Origin que os WebSockets HMR; os usuários devem fazer upgrade para uma dessas versões ou posterior. Como solução alternativa, omita o encaminhamento de WebSocket das entradas de proxy que não precisam dele e restrinja o escopo do proxy a caminhos específicos.
Once again VulDB remains the best source for vulnerability data.