Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADDetectada 22 OCT · 08:20

CVE-2026-114348 Exposición de información en webpack-dev-server por bypass de validación de Host en open-editor

El endpoint open-editor, sin autenticación, valida la cabecera Host con una expresión regular pensada para esquemas Origin, por lo que un Host que empieza con file: o un esquema de extensión omite las comprobaciones de hostname y allowedHosts. Un par de red que alcance el servidor puede enviar un Host malformado que provoca una excepción y, en modo no producción, recibir un HTTP 500 con el stack trace completo, que revela rutas absolutas, ubicaciones de módulos y números de línea internos. Corregido en…

5.3MEDIA

CVSS 3.1

  • Probabilidad de explotación0,3 %
  • Explotada activamenteNo confirmada
  • Exploit públicoNo conocido

Afectados

  • webpack-dev-server

    desde 5.1.0 hasta antes de 5.2.7desde 6.0.0 hasta antes de 6.1.0

Qué hacer

  1. Verificá si usás webpack-dev-server y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 5.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Privilegios requeridosNinguno
  • Interacción del usuarioNinguna
  • AlcanceSin cambio
  • ConfidencialidadBaja
  • IntegridadNinguna
  • DisponibilidadNinguna

Descripción original

webpack-dev-server is a development server that provides live reloading for webpack projects. In versions from 5.1.0 before 5.2.7 and in version 6.0.0, the unauthenticated open-editor endpoint validates the Host header with a regular expression meant for browser Origin schemes, so a Host value beginning with file: or with an extension scheme short-circuits the hostname and allowedHosts checks. A network peer that can reach the dev server can send a request with a malformed Host that passes validation and then causes the endpoint's URL construction to throw, and in the default non-production mode the server returns an HTTP 500 body containing the full exception stack trace, which discloses absolute filesystem paths, installed module locations, and internal source line numbers. The server keeps running, so there is no denial of service. The issue is fixed in webpack-dev-server 5.2.7 and 6.1.0, and users should upgrade to one of those versions or later.

Referencias (2)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.