PT-2026-121333
CVE-2026-112085
·
تاريخ النشر
2026-10-22
·
تاريخ التحديث
2026-10-22
الوصف من
CVSS 3.1
8.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:H/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
webpack-dev-server الإصدارات السابقة لـ 5.2.7
webpack-dev-server الإصدار 6.0.0
Description
عندما يتم تكوين إدخال وكيل (proxy) لتوجيه WebSockets، يقوم الخادم بتوجيه طلبات ترقية WebSocket غير المتعلقة بـ HMR (Hot Module Replacement) إلى هدف الوكيل دون التحقق من ترويسات Host أو Origin. يؤدي هذا إلى تجاوز حماية allowedHosts. وبناءً على ذلك، يمكن لصفحة ويب خبيثة يزورها المطور فتح اتصال WebSocket عبر النطاقات من خلال خادم التطوير للقراءة والكتابة في الخلفية الموجهة عبر الوكيل، حتى عندما يكون الخادم مرتبطًا بعنوان loopback.
Recommendations
التحديث إلى الإصدار 5.2.7 أو أحدث.
التحديث إلى الإصدار 6.1.0 أو أحدث.
إلغاء توجيه WebSocket من إدخالات الوكيل التي لا تحتاجه وتحديد نطاق الوكيل في مسارات محددة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾