CVE-2026-114348 in webpack-dev-server
Sumário
de VulDB • 22/10/2026
O webpack-dev-server é um servidor de desenvolvimento que oferece recarregamento em tempo real para projetos webpack. Nas versões a partir da 5.1.0 até antes da 5.2.7 e na versão 6.0.0, o endpoint open-editor não autenticado valida o cabeçalho Host com uma expressão regular projetada para esquemas de origem do navegador (Origin), de modo que um valor de Host começando com file: ou com um esquema de extensão contorna as verificações de hostname e allowedHosts. Um par de rede capaz de alcançar o servidor de desenvolvimento pode enviar uma solicitação com um Host malformado que passa na validação, causando então a falha (throw) na construção da URL do endpoint; no modo padrão não-produção, o servidor retorna um corpo HTTP 500 contendo o rastreamento completo da pilha de exceções, o que divulga caminhos absolutos do sistema de arquivos, localizações dos módulos instalados e números de linha internos. O servidor continua em execução, portanto, não há negação de serviço (DoS). A questão foi corrigida no webpack-dev-server 5.2.7 e 6.1.0, e os usuários devem atualizar para uma dessas versões ou posterior.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.