CVE-2026-76844 in webpack-dev-middleware
Сводка
по VulDB • 24.08.2026
webpack-dev-middleware разрешает запрос к локальному файлу в функции getFilenameFromUrl путем проверки пути запроса (pathname) с помощью защитной проверки на обход директорий и последующего его усечения по фиксированному смещению символов. Защитная проверка, UP_PATH_REGEXP, применяемая к path.normalize(`./${pathname}`), совпадает только с "..", которое является отдельным сегментом пути, тогда как проверка на принадлежность представляет собой строковое сравнение pathname.startsWith(publicPathPathname), а путь к файлу формируется как path.join(outputPath, pathname.slice(publicPathPathname.length)). Когда настроенный publicPath не содержит завершающего слэша, такой запрос, как GET /assets../.env при publicPath /assets, приводит к тому, что pathname равен /assets../.env; его единственная последовательность ".." находится внутри сегмента "assets.." и поэтому проходит защитную проверку, но усечение по смещению происходит внутри этого сегмента, передавая "../.env" в path.join, что разрешает путь на одну директорию выше outputPath. Чтение файла из этого пути требует, чтобы middleware был основан на физической файловой системе; это случается, когда writeToDisk имеет значение true или предоставлена пользовательская outputFileSystem, поскольку стандартный объем memfs содержит только результаты сборки. Глубина обхода ограничена одной директорией, потому что отдельно разделенный сегмент dot-dot сжимается во время разбора URL до запуска защитной проверки. Значение publicPath по умолчанию "auto" разрешается в "/" и не подвержено данной уязвимости. Это неполное исправление для CVE-2024-29180: защитная проверка и усечение по смещению были добавлены этим исправлением и присутствуют во всех релизах начиная с 5.3.4, 6.1.2 и 7.1.0.
Be aware that VulDB is the high quality source for vulnerability data.