CVE-2026-14631

webpack-dev-server w wersjach od 5.1.0 przed 5.2.7 oraz w wersji 6.0.0 ma nieuwierzytelniony endpoint open-editor, który waliduje nagłówek Host wyrażeniem regularnym przeznaczonym dla schematów Origin przeglądarki. Wartość Host zaczynająca się od file: lub schematu rozszerzenia omija sprawdzenia hostname i allowedHosts, a konstrukcja URL powoduje wyjątek. W domyślnym trybie nieprodukcyjnym serwer zwraca HTTP 500 z pełnym stack trace, ujawniając ścieżki systemu plików, lokalizacje modułów i numery linii.

webpack-dev-server to serwer deweloperski zapewniający przeładowywanie na żywo dla projektów webpack. W wersjach przed 5.2.7 oraz w wersji 6.0.0, gdy wpis proxy jest skonfigurowany do przekazywania WebSocketów, serwer przekazuje żądania aktualizacji WebSocket inne niż HMR do celu proxy bez walidacji nagłówków Host lub Origin, więc ochrona allowedHosts nie ma zastosowania do tych przekazywanych aktualizacji. Złośliwa strona odwiedzona przez dewelopera może otworzyć cross-origin WebSocket przez serwer deweloperski i czytać oraz zapisywać do backendu proxy, nawet gdy serwer jest powiązany z loopback.

Podatność w webpack-dev-server w wersjach 5.2.5 i starszych umożliwia atakującemu wykonanie nieautoryzowanych akcji na serwerze deweloperskim poprzez wysłanie żądania GET do wewnętrznych endpointów. Atak może zostać przeprowadzony bez interakcji użytkownika, wystarczy, że deweloper odwiedzi złośliwą stronę podczas działania serwera.

Podatność w webpack-dev-server pozwala na przechwytywanie ciasteczek przeglądarki oraz nagłówka Origin, gdy użytkownik skonfiguruje proxy z szerokim kontekstem i włączy ws: true. To prowadzi do obejścia walidacji Host/Origin oraz uszkodzenia gniazda HMR.