CVE-2026-14620
webpack-dev-server vulnerable a falsificación de peticiones en sitios cruzados (CSRF) a través de endpoints internos de desarrollo
- Publicado
- 3 jul 2026
- Actualizado
- 6 jul 2026
- Asignación de CNA
- openjs
- Evidencia observada
- 17 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:N/A:LBajo · próximos 30 días
- Percentil
- 42,9 %
- Fecha del modelo
- 15 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
webpack-dev-server, en sus versiones 5.2.5 y anteriores, expone dos endpoints internos de desarrollo, /webpack-dev-server/open-editor y /webpack-dev-server/invalidate, que realizan acciones de cambio de estado ante cualquier solicitud GET sin verificar que la solicitud se haya originado desde la propia página del servidor de desarrollo. Cualquier sitio web que un desarrollador visite mientras el servidor de desarrollo está en ejecución puede activar estos endpoints de forma cross-origin sin más interacción que la visita. Un atacante puede abrir un archivo local existente arbitrario en el editor del desarrollador, incluidos archivos fuera de la raíz del proyecto, y las solicitudes repetidas pueden generar procesos del editor y forzar recompilaciones que degradan la máquina del desarrollador. Parches: actualice a webpack-dev-server 5.2.6. Soluciones alternativas: ninguna.
Fuentes
PoCs y write-ups de CVEs que reporté (divulgación coordinada; solo publicados y parcheados)
Jorge González Milla · multiple · 17 ago 2026
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.