CVE-2026-9595

webpack-dev-server w wersjach od 5.1.0 przed 5.2.7 oraz w wersji 6.0.0 ma nieuwierzytelniony endpoint open-editor, który waliduje nagłówek Host wyrażeniem regularnym przeznaczonym dla schematów Origin przeglądarki. Wartość Host zaczynająca się od file: lub schematu rozszerzenia omija sprawdzenia hostname i allowedHosts, a konstrukcja URL powoduje wyjątek. W domyślnym trybie nieprodukcyjnym serwer zwraca HTTP 500 z pełnym stack trace, ujawniając ścieżki systemu plików, lokalizacje modułów i numery linii.

webpack-dev-server to serwer deweloperski zapewniający przeładowywanie na żywo dla projektów webpack. W wersjach przed 5.2.7 oraz w wersji 6.0.0, gdy wpis proxy jest skonfigurowany do przekazywania WebSocketów, serwer przekazuje żądania aktualizacji WebSocket inne niż HMR do celu proxy bez walidacji nagłówków Host lub Origin, więc ochrona allowedHosts nie ma zastosowania do tych przekazywanych aktualizacji. Złośliwa strona odwiedzona przez dewelopera może otworzyć cross-origin WebSocket przez serwer deweloperski i czytać oraz zapisywać do backendu proxy, nawet gdy serwer jest powiązany z loopback.

Podatność w webpack-dev-server w wersjach 5.2.5 i wcześniejszych powoduje awarię całego procesu Node.js po otrzymaniu nieautoryzowanego żądania HTTP z nieprawidłowym nagłówkiem Host lub żądania WebSocket z nieprawidłowym nagłówkiem Origin. Błąd prowadzi do nieobsłużonego wyjątku w walidacji hosta i zatrzymania serwera deweloperskiego.

Podatność w webpack-dev-server w wersjach 5.2.5 i starszych umożliwia atakującemu wykonanie nieautoryzowanych akcji na serwerze deweloperskim poprzez wysłanie żądania GET do wewnętrznych endpointów. Atak może zostać przeprowadzony bez interakcji użytkownika, wystarczy, że deweloper odwiedzi złośliwą stronę podczas działania serwera.