CVE-2026-112085

Nome do Software Vulnerável e Versões Afetadas webpack-dev-server versões anteriores a 5.2.7 webpack-dev-server versão 6.0.0

Description Quando uma entrada de proxy é configurada para encaminhar WebSockets, o servidor encaminha solicitações de upgrade de WebSocket não-HMR (Hot Module Replacement) para o alvo do proxy sem validar os cabeçalhos Host ou Origin. Isso ignora a proteção allowedHosts. Consequentemente, uma página web maliciosa visitada por um desenvolvedor pode estabelecer uma conexão WebSocket de origem cruzada através do servidor de desenvolvimento para ler e gravar no backend proximado, mesmo que o servidor esteja vinculado ao endereço de loopback.

Recommendations Atualize para a versão 5.2.7 ou posterior. Atualize para a versão 6.1.0 ou posterior. Omita o encaminhamento de WebSocket de entradas de proxy que não precisem disso e limite o proxy a caminhos específicos.