Npm · Webpack-Dev-Server · CVE-2026-9595
**اسم البرنامج المعرض للخطر والإصدارات المتأثرة**
إصدارات webpack-dev-server الأقدم من 5.2.5
**الوصف**
يقوم وكيل (بروكسي) متساهل تم تكوينه من قبل المستخدم، مع سياق واسع (مثل ’/‘) وقيمة `ws: true`، باعتراض WebSocket الخاص بخدمة استبدال الوحدات النمطية الساخنة (HMR) الخاصة بخادم التطوير وإعادة توجيهه إلى هدف الوكيل. يؤدي ذلك إلى تسرب ملفات تعريف الارتباط (cookies) ورأس Origin الخاص بالمتصفح إلى الخلفية (backend) وتجاوز عملية التحقق من صحة المضيف/الأصل (Host/Origin) الخاصة بخادم التطوير. بالإضافة إلى ذلك، يتسبب هذا في تلف مأخذ توصيل HMR حيث يحاول كل من HMR والوكيل الكتابة إلى نفس مأخذ التوصيل.
**التوصيات**
التحديث إلى الإصدار 5.2.5.
تحديد نطاق سياق الوكيل المحدد من قبل المستخدم بمسارات محددة بدلاً من ’/‘.
حذف `ws: true` من إدخال الوكيل عندما لا تكون إعادة توجيه WebSocket مطلوبة.