CVE-2026-114348

اسم البرنامج المصاب والإصدارات المتأثرة webpack-dev-server الإصدارات من 5.1.0 إلى 5.2.6 webpack-dev-server الإصدار 6.0.0

الوصف يقوم نقطة النهاية 'open-editor' غير المصادق عليها بالتحقق من ترويسة Host باستخدام تعبير نمطي مصمم لمخططات أصل المتصفح. يمكن لقيمة Host التي تبدأ بـ file: أو مخطط توسعة أن تتجاوز فحوصات اسم المضيف و allowedHosts. يمكن لند شبكي إرسال طلب بـ Host مشوه يجتاز التحقق، مما يؤدي إلى فشل بناء عنوان URL لنقطة النهاية. في وضع عدم الإنتاج الافتراضي، يعيد الخادم استجابة HTTP 500 تحتوي على تتبع المكدس الكامل للاستثناء، مما يكشف عن مسارات نظام الملفات المطلقة، ومواقع الوحدات المثبتة، وأرقام أسطر المصدر الداخلية.

التوصيات تحديث الإصدارات من 5.1.0 إلى 5.2.6 إلى الإصدار 5.2.7 أو أحدث. تحديث الإصدار 6.0.0 إلى الإصدار 6.1.0 أو أحدث.