PT-2026-6641
CVE-2025-68458
·
تاريخ النشر
2026-02-05
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
3.7
منخفضةالمقاييسAV:N/AC:H/PR:L/UI:R/S:U/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Webpack من 5.49.0 إلى 5.104.0
الوصف
يمكن تجاوز أداة تحليل HTTP(S) في Webpack (HttpUriPlugin) عند تمكين ميزة
experiments.buildHttp. يتيح هذا التجاوز استرداد الموارد من مضيفات خارج نطاق تكوين allowedUris باستخدام عناوين URL مصممة خصيصًا تتضمن معلومات المستخدم (اسم المستخدم:كلمة المرور@المضيف). إذا كان تطبيق allowedUris يعتمد على فحص بادئة السلسلة الأولية، فيمكن لعنوان URL يبدو أنه مدرج في قائمة المسموح بها أن يجتاز عملية التحقق من الصحة، في حين يتم إرسال طلب الشبكة الفعلي إلى سلطة/مضيف مختلف بعد تحليل عنوان URL. يُعد هذا تجاوزًا للسياسة/قائمة المسموح بها، مما يتيح حدوث سلوك تزوير الطلبات من جانب الخادم (SSRF) أثناء مرحلة البناء وإدراج محتوى غير موثوق به. يتم التعامل مع الاستجابة التي تم جلبها على أنها مصدر وحدة نمطية ويتم تضمينها في الناتج النهائي. السبب الجذري هو أن التحقق من صحة allowedUris يمكن إجراؤه على سلسلة URI الأولية، في حين يتم تحديد وجهة الطلب الفعلية لاحقًا عن طريق تحليل عنوان URL، الذي يفسر السلطة على أنها الجزء الذي يلي الرمز ’@‘. يمكن أن تؤدي هذه المشكلة إلى إرسال طلبات صادرة من جهاز البناء إلى نقاط نهاية داخلية فقط، اعتمادًا على الوصول إلى الشبكة، وإدراج محتوى غير موثوق به.التوصيات
قم بالتحديث إلى إصدار Webpack 5.104.1 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾