CVE-2026-112085
Publiée le 2026-10-22 · Dernière modification le 2026-10-22
webpack-dev-server (versions antérieures à 5.2.7 et version 6.0.0) propose le rechargement en direct pour les développeurs créant des projets webpack. La faille survient lorsque le serveur est configuré pour agir comme proxy pour les WebSockets, car il ne valide pas les en-têtes Host ou Origin pour les requêtes de mise à niveau non liées au HMR. Cela contourne entièrement le mécanisme de protection `allowedHosts`.
Un attaquant peut utiliser un site web malveillant pour inciter un développeur à ouvrir une connexion WebSocket cross-origin vers le serveur de développement. Cela permet à l'attaquant de lire et d'écrire des données vers le backend proxifié, compromettant ainsi la confidentialité et l'intégrité de ce service interne. L'attaque ne nécessite aucune authentification ni privilège particulier, mais elle exige que le développeur visite une page malveillante.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
webpack-dev-server is a development server that provides live reloading for webpack projects. In versions before 5.2.7 and in version 6.0.0, when a proxy entry is configured to forward WebSockets, the server forwards non-HMR WebSocket upgrade requests to the proxy target without validating the Host or Origin headers, so the allowedHosts protection does not apply to those proxied upgrades. A malicious web page visited by a developer can open a cross-origin WebSocket through the dev server and read from and write to the proxied backend, even when the server is bound to loopback. The issue is fixed in webpack-dev-server 5.2.7 and 6.1.0, where proxied WebSocket upgrades pass the same Host and Origin validation as the HMR WebSocket, and users should upgrade to one of those versions or later. As a workaround, omit WebSocket forwarding from proxy entries that do not need it and scope the proxy to specific paths.