PT-2026-49244 · Npm · Webpack-Dev-Server
CVSS v3.1
5.3
متوسطة
| المتجه | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات webpack-dev-server الأقدم من 5.2.5
الوصف
يقوم وكيل (بروكسي) متساهل تم تكوينه من قبل المستخدم، مع سياق واسع (مثل ’/‘) وقيمة
ws: true، باعتراض WebSocket الخاص بخدمة استبدال الوحدات النمطية الساخنة (HMR) الخاصة بخادم التطوير وإعادة توجيهه إلى هدف الوكيل. يؤدي ذلك إلى تسرب ملفات تعريف الارتباط (cookies) ورأس Origin الخاص بالمتصفح إلى الخلفية (backend) وتجاوز عملية التحقق من صحة المضيف/الأصل (Host/Origin) الخاصة بخادم التطوير. بالإضافة إلى ذلك، يتسبب هذا في تلف مأخذ توصيل HMR حيث يحاول كل من HMR والوكيل الكتابة إلى نفس مأخذ التوصيل.التوصيات
التحديث إلى الإصدار 5.2.5.
تحديد نطاق سياق الوكيل المحدد من قبل المستخدم بمسارات محددة بدلاً من ’/‘.
حذف
ws: true من إدخال الوكيل عندما لا تكون إعادة توجيه WebSocket مطلوبة.استغلال
إصلاح
DoS
Origin Validation Error
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
المعرّفات ذات الصلة
المنتجات المتأثرة
Webpack-Dev-Server