CVE-2026-14620

إصدارات webpack-dev-server الأقدم من 5.2.6

تقوم نقاط النهاية الداخلية للمطورين ’/webpack-dev-server/open-editor‘ و ’/webpack-dev-server/invalidate‘ بتنفيذ إجراءات تغير الحالة استجابةً لطلبات GET دون التحقق من مصدر الطلب. وهذا يسمح لأي موقع ويب يزوره المطور بتشغيل نقاط النهاية هذه عبر الأصول. يمكن للمهاجم فتح ملفات محلية عشوائية في محرر المطور، بما في ذلك تلك الموجودة خارج جذر المشروع. بالإضافة إلى ذلك، يمكن أن تؤدي الطلبات المتكررة إلى إنشاء عمليات محرر متعددة وإجبار النظام على إعادة التجميع، مما يؤدي إلى تدهور أداء النظام.

قم بالترقية إلى الإصدار 5.2.6 من webpack-dev-server.