CVE-2026-14620
Publiée le 2026-07-03 · Dernière modification le 2026-07-07
Les développeurs utilisant la version 5.2.5 ou antérieure de webpack-dev-server sont concernés par un problème d'absence de vérification de l'origine des points de terminaison internes. En visitant simplement un site malveillant pendant que le serveur de développement est actif, un attaquant peut forcer à distance votre éditeur de texte local à ouvrir n'importe quel fichier de votre machine ou déclencher des recompilations répétées pour ralentir votre système. Aucune authentification n'est requise, bien que l'attaque dépende du fait que le développeur visite une page compromise via son navigateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
webpack-dev-server versions 5.2.5 and earlier expose two internal developer endpoints, /webpack-dev-server/open-editor and /webpack-dev-server/invalidate, that perform state-changing actions on any GET request without verifying that the request originated from the dev server's own page. Any website a developer visits while the dev server is running can trigger these endpoints cross-origin with no interaction beyond the visit. An attacker can open an arbitrary existing local file in the developer's editor, including files outside the project root, and repeated requests can spawn editor processes and force recompilations that degrade the developer's machine. Patches: upgrade to webpack-dev-server 5.2.6. Workarounds: none.