| タイトル | webpackのwebpack-dev-serverにおける複数の脆弱性 |
|---|---|
| 概要 | 影響：ユーザーが設定したwebpack-dev-serverのプロキシが広範囲のコンテキスト（例：/）であり、かつws: trueの場合、開発サーバー自身のHMR WebSocketもインターセプトしてプロキシターゲットに転送します。これにより、ブラウザのクッキーおよびOriginヘッダーがバックエンドに漏洩し、開発サーバーのHost/Origin検証を回避し、HMRソケットが破損します（HMRとプロキシの両方が同じソケットに書き込みを行うためです）。パッチはwebpack-dev-server@5.2.5で修正済みです。回避策としては、ユーザー定義プロキシのコンテキストを/ではなく特定のパスに限定するか、WebSocket転送が不要な場合はプロキシ設定からws: trueを省略してください。 |
| 想定される影響 | ・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 ・当該ソフトウェアが扱う情報について、書き換えは発生しません。 ・当該ソフトウェアの一部が停止する可能性があります。 |
| 対策 | ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年6月15日0:00 |
| 登録日 | 2026年6月17日15:37 |
| 最終更新日 | 2026年6月17日15:37 |
| CVSS3.0 : 警告 | |
| スコア | 4.3 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年06月17日] 掲載 |
2026年6月17日15:37 |
| 概要 | Impact: When a user-configured proxy on webpack-dev-server has a broad context (e.g. /) and ws: true, it also intercepts the dev server's own HMR WebSocket and forwards it to the proxy target. This leaks the browser's cookies and Origin header to the backend, bypasses the dev server's Host/Origin validation, and corrupts the HMR socket (both HMR and the proxy end up writing to the same socket). Patches: Fixed in webpack-dev-server@5.2.5. Workarounds: Scope user-defined proxy context to specific paths instead of /, or omit ws: true from the proxy entry when WebSocket forwarding is not required. |
|---|---|
| 公表日 | 2026年6月16日1:16 |
| 登録日 | 2026年6月16日4:12 |
| 最終更新日 | 2026年6月17日2:24 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:webpack.js:webpack-dev-server:*:*:*:*:*:*:*:* | 5.2.5 | ||||