CVE-2026-14620
webpack-dev-server में आंतरिक डेवलपर एंडपॉइंट्स के जरिए क्रॉस-साइट रिक्वेस्ट फोर्जरी की भेद्यता
- प्रकाशित
- 3 जुल॰ 2026
- अद्यतन
- 6 जुल॰ 2026
- सीएनए असाइन करना
- openjs
- साक्ष्य देखे गए
- 17 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:N/A:Lकम · अगले 30 दिन
- प्रतिशत
- 43.0%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
webpack-dev-server संस्करण 5.2.5 और उससे पहले के संस्करण दो आंतरिक डेवलपर एंडपॉइंट्स, `/webpack-dev-server/open-editor` और `/webpack-dev-server/invalidate`, को उजागर करते हैं, जो बिना यह सत्यापित किए कि अनुरोध डेव सर्वर के अपने पेज से आया है, किसी भी GET अनुरोध पर अवस्था-परिवर्तन करने वाली क्रियाएँ करते हैं। डेव सर्वर चलने के दौरान डेवलपर जिस भी वेबसाइट पर जाता है, वह इन एंडपॉइंट्स को बिना किसी अतिरिक्त इंटरैक्शन के क्रॉस-ओरिजिन ट्रिगर कर सकती है। एक हमलावर डेवलपर के एडिटर में कोई भी मौजूदा लोकल फ़ाइल खोल सकता है, जिसमें प्रोजेक्ट रूट के बाहर की फ़ाइलें भी शामिल हैं, और बार-बार किए गए अनुरोध एडिटर प्रोसेस उत्पन्न कर सकते हैं और पुनर्संकलन के लिए मजबूर कर सकते हैं जो डेवलपर की मशीन को ख़राब कर देते हैं। पैच: webpack-dev-server 5.2.6 पर अपग्रेड करें। वर्कअराउंड: कोई नहीं।
स्रोत
PoCs और मेरे द्वारा रिपोर्ट किए गए CVEs के लिए विवरण (समन्वित प्रकटीकरण; केवल प्रकाशित + पैच किए गए)
- webpack_devserver 5.2.5 - CSRFएक्सप्लॉइट
Jorge González Milla · multiple · 17 अग॰ 2026
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।