PT-2026-49244 · Npm · Webpack-Dev-Server

Ajhyndman + 2 · Publicado 2026-06-15 · Atualizado 2026-06-17 · CVE-2026-9595

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

Nome do Software Vulnerável e Versões Afetadas webpack-dev-server versões anteriores a 5.2.5

Descrição Um proxy configurado pelo usuário com um contexto amplo (ex: '/') e ws: true intercepta o WebSocket de Hot Module Replacement (HMR) do próprio servidor de desenvolvimento e o encaminha para o alvo do proxy. Isso resulta no vazamento de cookies do navegador e do cabeçalho Origin para o backend, além de ignorar a validação de Host/Origin do servidor de desenvolvimento. Adicionalmente, isso causa a corrupção do socket HMR, pois tanto o HMR quanto o proxy tentam escrever no mesmo socket.

Recomendações Atualize para a versão 5.2.5. Defina o contexto do proxy configurado pelo usuário para caminhos específicos em vez de '/'. Omita ws: true da entrada do proxy quando o encaminhamento de WebSocket não for necessário.

Correção

Origin Validation Error

Enumeração de Fraquezas

CWE-441

CWE-346

Identificadores relacionados

CVE-2026-9595

GHSA-MX8G-39Q3-5C79

Produtos afetados

Webpack-Dev-Server

Referências · 10

• https://github.com/facebook/create-react-app/pull/7444 · Correção
• https://github.com/vuejs/vue-cli/commit/72ba7505aff2a8314e82aa5082379a77504a1fcb · Correção
• https://github.com/webpack/webpack-dev-server/security/advisories/GHSA-mx8g-39q3-5c79 · Aviso do Fabricante
• https://github.com/webpack/webpack-dev-server/pull/4316 · Correção
• https://github.com/webpack/webpack-dev-server · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-9595 · Nota de Segurança
• https://twitter.com/kom_256/status/2066537963199107558 · Publicação no Twitter
• https://cna.openjsf.org/security-advisories.html · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-mx8g-39q3-5c79 · Aviso do Fabricante
• https://twitter.com/bjohansebas/status/2066533612636234034 · Publicação no Twitter