CVE-2025-30359

إصدارات webpack-dev-server الأقدم من 5.2.1

تسمح هذه الثغرة الأمنية للمهاجم بسرقة شفرة المصدر الخاصة بالمستخدمين عند دخولهم إلى موقع ويب ضار. ويحدث ذلك لأن طلب تشغيل سكريبت تقليدي عبر علامة script لا يخضع لسياسة «نفس المصدر» (same-origin policy)، مما يسمح للمهاجم بحقن سكريبت ضار وتنفيذه. يحتاج المهاجم إلى معرفة المنفذ ومسار البرنامج النصي لنقطة الدخول. ومن خلال الجمع بين ذلك وتلوث النموذج الأولي، يمكن للمهاجم الحصول على مرجع إلى متغيرات وقت التشغيل الخاصة بـ webpack. ويتيح استخدام Function::toString في القيم الموجودة في webpack modules للمهاجم الحصول على شفرة المصدر.

بالنسبة للإصدارات الأقدم من 5.2.1، قم بالتحديث إلى الإصدار 5.2.1 أو أحدث لحل هذه الثغرة الأمنية. كإجراء مؤقت، ضع في اعتبارك تقييد الوصول إلى خادم التطوير لتقليل مخاطر الاستغلال. تجنب استخدام المتغير webpack modules في السياقات الحساسة حتى يتم حل هذه الثغرة الأمنية.