CVE-2026-114348

Nome do Software Vulnerável e Versões Afetadas webpack-dev-server versões 5.1.0 até 5.2.6 webpack-dev-server versão 6.0.0

Descrição O endpoint 'open-editor' não autenticado valida o cabeçalho Host usando uma expressão regular projetada para esquemas de Origem de navegador. Um valor de Host começando com file: ou um esquema de extensão pode ignorar as verificações de hostname e allowedHosts. Um peer de rede pode enviar uma requisição com um Host malformado que passa na validação, fazendo com que a construção da URL do endpoint falhe. No modo padrão de não produção, o servidor retorna uma resposta HTTP 500 contendo o rastreamento completo da exceção (stack trace), o que revela caminhos absolutos do sistema de arquivos, locais de módulos instalados e números de linhas internas do código-fonte.

Recomendações Atualizar as versões 5.1.0 até 5.2.6 para 5.2.7 ou posterior. Atualizar a versão 6.0.0 para 6.1.0 ou posterior.