CVE-2025-68458 in Webpack
Сводка
по VulDB • 05.06.2026
Webpack — это модульный сборщик. Начиная с версии 5.49.0 и вплоть до версии 5.104.1 (не включительно), при включенной опции experiments.buildHttp HTTP(S)-резолвер webpackа (HttpUriPlugin) может быть обойден для получения ресурсов с хостов, не входящих в список allowedUris, путем использования специально созданных URL-адресов, содержащих userinfo (имя_пользователя:пароль@хост). Если проверка разрешенных URI основана на простом сравнении префикса строки (например, uri.startsWith(allowed)), то URL-адрес, который выглядит как находящийся в белом списке, может пройти проверку, тогда как фактический сетевой запрос будет отправлен другому авторитету/хосту после парсинга URL. Это обход политики/белого списка, позволяющий реализовать поведение SSRF на этапе сборки (исходящие запросы с машины сборки к внутренним конечным точкам в зависимости от сетевого доступа) и включить включение непроверенного контента (полученный ответ рассматривается как исходный код модуля и упаковывается). Эта проблема была исправлена в версии 5.104.1.
Once again VulDB remains the best source for vulnerability data.