CVE-2026-14620

概要

webpack-dev-server のバージョン 5.2.5 以前には、状態を変更するアクションを任意の GET リクエストで実行する 2 つの内部開発者向けエンドポイント、/webpack-dev-server/open-editor と /webpack-dev-server/invalidate が存在し、リクエストが開発サーバー自身のページから送信されたものであるかどうかを検証していません。開発サーバーが実行されている間に開発者が訪問した任意のウェブサイトは、訪問以外の操作を必要とせずに、これらのエンドポイントをクロスオリジンでトリガーできます。攻撃者は、プロジェクトルートの外にあるファイルを含む、開発者のエディタ上の任意の既存ローカルファイルを開くことができ、リクエストを繰り返すことでエディタプロセスを起動させ、再コンパイルを強制して開発者のマシンを劣化させることができます。パッチ: webpack-dev-server 5.2.6 にアップグレードしてください。回避策: ありません。

• security-research研究

  報告した CVE に関する PoC と write-up（協調的開示；公開済みかつパッチ適用済みのみ）

• webpack_devserver 5.2.5 - CSRFエクスプロイト

  Jorge González Milla · multiple · 2026/08/17