CVE-2026-14620

ملخص

الإصدارات 5.2.5 وما قبلها من webpack-dev-server تكشف عن نقطتي نهاية داخليتين للمطوّرين، /webpack-dev-server/open-editor و /webpack-dev-server/invalidate، تقومان بتنفيذ إجراءات تغيّر الحالة على أي طلب GET دون التحقق من أن الطلب نشأ من صفحة خادم التطوير نفسه. أي موقع ويب يزوره المطوّر أثناء تشغيل خادم التطوير يمكنه تشغيل نقطتي النهاية هاتين عبر الأصول دون أي تفاعل يتجاوز مجرد الزيارة. يمكن للمهاجم فتح أي ملف محلي موجود في محرّر المطوّر، بما في ذلك ملفات خارج جذر المشروع، ويمكن للطلبات المتكررة أن تستدعي عمليات محرّر وتفرض عمليات إعادة ترجمة تُضعِف أداء جهاز المطوّر. التصحيحات: الترقية إلى webpack-dev-server 5.2.6. الحلول البديلة: لا يوجد.

• security-researchالبحث

  PoCs وتقارير عن ثغرات CVE التي أبلغت عنها (إفصاح منسق; المنشورة والمصححة فقط)

• webpack_devserver 5.2.5 - CSRFاستغلال

  Jorge González Milla · multiple · 17‏/08‏/2026