CVE-2026-76844

Nome do Software Vulnerável e Versões Afetadas webpack-dev-middleware versões 5.3.4 through 5.x webpack-dev-middleware versões 6.1.2 through 6.x webpack-dev-middleware versões 7.1.0 through 7.x

Description O software não valida adequadamente os endereços de URL antes de retornar arquivos locais, permitindo o acesso potencial a arquivos na máquina do desenvolvedor. Isso ocorre na função getFilenameFromUrl() quando o publicPath é configurado sem uma barra final. Um invasor pode criar uma requisição onde uma sequência de pontos (dot-dot) está incorporada em um segmento do caminho (ex: /assets../.env), ignorando a guarda de travessia. O sistema então corta o caminho em um deslocamento fixo, resultando em um traversal de caminho que resolve um diretório acima do caminho de saída. Este problema afeta especificamente ambientes onde o middleware é suportado pelo sistema de arquivos físico, como quando a variável writeToDisk é definida como true ou um outputFileSystem personalizado é fornecido. Se o servidor de desenvolvimento estiver exposto a uma rede ou permitir requisições de origem cruzada, um invasor poderá exfiltrar arquivos sensíveis, como senhas ou código-fonte.

Recommendations Para as versões do webpack-dev-middleware 5.3.4 through 5.x, 6.1.2 through 6.x e 7.1.0 through 7.x, defina a variável writeToDisk como false ou evite usar um outputFileSystem personalizado para impedir o acesso ao sistema de arquivos físico. Como medida de mitigação temporária, certifique-se de que a configuração publicPath termine com uma barra final para evitar a falha no corte de deslocamento.