CVE-2025-30359
Təsvir
webpack-dev-server istifadəçilərə canlı yeniləmə təmin edən inkişaf serveri ilə webpack-dən istifadə etməyə imkan verir. Versiya 5.2.1-dən əvvəl, webpack-dev-server istifadəçiləri zərərli veb sayta daxil olduqda onların mənbə kodu oğurlana bilər. Skript teqi vasitəsilə klassik skript sorğusu eyni mənşə siyasətinə (same origin policy) tabe olmadığı üçün hücumçu öz saytına zərərli skript yerləşdirə və həmin skripti işlədə bilər. Qeyd edək ki, hücumçu portu və çıxış giriş nöqtəsi (entrypoint) skript yolunu bilməlidir. Prototype pollution ilə birlikdə hücumçu webpack runtime dəyişənlərinə istinad əldə edə bilər. Hücumçu `__webpack_modules__` daxilindəki dəyərlərə qarşı `Function::toString` metodundan istifadə edərək mənbə kodu əldə edə bilər. Versiya 5.2.1 bu problem üçün düzəliş ehtiva edir.
Necə düzəltmək olar
- webpack.js webpack-dev-server5.2.1 və ya daha yeni versiya
- webpack-dev-server5.2.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| webpack.js webpack-dev-server | v < 5.2.1 | 5.2.1 |
| webpack-dev-servernpm | v < 5.2.1 | 5.2.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.