- Yama var
- Son 7 gün
- CWE-346
- CWE-1385
CVE-2026-112085
webpack-dev-server'da proxy üzerinden yönlendirilen WebSocket yükseltmelerinde köken denetimi eksikliği
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- openjs
ÖzetTürkçe
webpack-dev-server, webpack projeleri için canlı yeniden yükleme özelliği sunan bir geliştirme sunucusudur. 5.2.7 öncesi sürümlerde ve 6.0.0 sürümünde, WebSocket trafiğini iletecek şekilde yapılandırılmış bir proxy girdisi bulunduğunda, sunucu HMR dışındaki WebSocket yükseltme isteklerini Host veya Origin başlıklarını doğrulamadan proxy hedefine iletmektedir. Bu nedenle allowedHosts koruması bu proxy üzerinden yapılan yükseltmelerde uygulanmaz. Geliştiricinin ziyaret ettiği kötü niyetli bir web sayfası, geliştirme sunucusu üzerinden farklı kökenli bir WebSocket açabilir ve sunucu yalnızca loopback adresine bağlı olsa bile proxy'lenen arka uca okuma ve yazma yapabilir. Sorun webpack-dev-server 5.2.7 ve 6.1.0 sürümlerinde giderilmiştir; bu sürümlerde proxy üzerinden yapılan WebSocket yükseltmeleri, HMR WebSocket'i ile aynı Host ve Origin doğrulamasından geçmektedir. Kullanıcıların bu sürümlerden birine veya daha yenisine yükseltme yapması önerilir. Geçici çözüm olarak, WebSocket iletimine ihtiyaç duymayan proxy girdilerinde bu özelliği kaldırın ve proxy'yi belirli yollarla sınırlandırın.
Kaynaktaki açıklama (İngilizce)
webpack-dev-server is a development server that provides live reloading for webpack projects. In versions before 5.2.7 and in version 6.0.0, when a proxy entry is configured to forward WebSockets, the server forwards non-HMR WebSocket upgrade requests to the proxy target without validating the Host or Origin headers, so the allowedHosts protection does not apply to those proxied upgrades. A malicious web page visited by a developer can open a cross-origin WebSocket through the dev server and read from and write to the proxied backend, even when the server is bound to loopback. The issue is fixed in webpack-dev-server 5.2.7 and 6.1.0, where proxied WebSocket upgrades pass the same Host and Origin validation as the HMR WebSocket, and users should upgrade to one of those versions or later. As a workaround, omit WebSocket forwarding from proxy entries that do not need it and scope the proxy to specific paths.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| webpack-dev-server | < 5.2.7 | 5.2.7 |
| 5.2.7 Etkilenmiyor | – | |
| ≥ 6.0.0, < 6.1.0 | 6.1.0 | |
| 6.1.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.