CVE-2026-14620

总结

webpack-dev-server 5.2.5 及更早版本暴露了两个内部开发者端点，/webpack-dev-server/open-editor 和 /webpack-dev-server/invalidate，它们会在任何 GET 请求上执行改变状态的操作，而不验证请求是否来自开发服务器自己的页面。开发者在开发服务器运行期间访问的任何网站都可以跨域触发这些端点，无需任何交互，只需访问即可。攻击者可以在开发者的编辑器中打开任意现有的本地文件，包括项目根目录之外的文件，并且重复请求可以生成编辑器进程并强制重新编译，从而降低开发者机器的性能。补丁：升级到 webpack-dev-server 5.2.6。变通方案：无。

• security-research研究

  我报告的 CVE 的 PoC 与 write-ups（协同披露；仅已发布及已修复）

• webpack_devserver 5.2.5 - CSRF漏洞利用

  Jorge González Milla · multiple · 2026年8月17日