CVE-2026-9595
Təsvir
Təsir: webpack-dev-server-də istifadəçi tərəfindən konfiqurasiya edilmiş proksi geniş kontekstə (məsələn, /) və ws: true parametrini malik olduqda, o, həmçinin dev server-in öz HMR WebSocket bağlantısını tutur və onu proksi hədəfinə yönləndirir. Bu, brauzerin kukilərini və Origin başlığını backend-ə sızdırır, dev server-in Host/Origin yoxlamasını yan keçir və HMR soketini korlayır (həm HMR, həm də proksi eyni soketə yazı yazmağa çalışır). Yamallar: [email protected] versiyasında düzəldilib. Alternativ həllər: İstifadəçi tərəfindən təyin edilmiş proksi kontekstini / əvəzinə konkret yollarla məhdudlaşdırın və ya WebSocket yönləndirməsi tələb olunmadıqda proksi girişindən ws: true parametrini çıxarın.
Necə düzəltmək olar
- webpack.js webpack-dev-server5.2.5 və ya daha yeni versiya
- webpack-dev-server5.2.5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| webpack.js webpack-dev-server | v < 5.2.5 | 5.2.5 |
| webpack-dev-servernpm | v < 5.2.5 | 5.2.5 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.