„`html
Zusammenfassung
Die Schwachstelle CVE-2026-9595 betrifft webpack-dev-server und ermöglicht die
unautorisierten Offenlegung von Authentifizierungsdaten sowie die Umgehung von
Sicherheitsvalidierungen. Bei aktivierter WebSocket-Proxy-Konfiguration mit
breitem Kontext werden die HMR-WebSocket-Verbindungen des Dev-Servers zum
Proxy-Ziel weitergeleitet, wodurch sensitive Daten exponiert werden.
Betroffene Systeme
Software: webpack-dev-server
Versionen: Vor 5.2.5
Abhängigkeit: Webpack.js
Betriebssysteme: Plattformunabhängig
Technische Details
Der Schwachstelle liegt ein Design-Fehler in der Proxy-Verarbeitung zugrunde.
Wenn ein Proxy mit breitem Kontext-Pfad (z.B. /) und aktiviertem WebSocket-Support
(ws: true) konfiguriert ist, werden auch die internen Hot Module Replacement
(HMR) WebSockets des Dev-Servers abgefangen und zum Proxy-Ziel weitergeleitet.
Dies führt zu mehreren Sicherheitsproblemen:
- Cookie-Leakage: Browser-Cookies werden an das Backend übertragen
- Header-Offenlegung: Der Origin-Header wird ohne Validierung weitergeleitet
- Sicherheits-Bypass: Host/Origin-Validierungen des Dev-Servers werden umgangen
- Socket-Korruption: Sowohl HMR als auch Proxy schreiben auf denselben Socket
CVSS-Score: 5.3 (Medium) | Angriffsvektor: Network
Empfohlene Massnahmen
Priorität 1 – Update: webpack-dev-server auf Version 5.2.5 oder höher aktualisieren.
Priorität 2 – Workarounds (bis Update möglich):
- Proxy-Kontext eingrenzen: Statt
/spezifische Pfade definieren (z.B./api) ws: trueentfernen, wenn WebSocket-Forwarding nicht erforderlich ist- Alternative: Proxy-Konfiguration temporär deaktivieren
Bewertung
Diese Schwachstelle stellt ein mittleres Risiko dar. Da sie nur in Entwicklungsumgebungen
auftritt, ist die Produktionsauswirkung begrenzt. Entwickler-Maschinen und lokale
Entwicklungsserver sollten jedoch zeitnah aktualisiert werden, um
Cookie-Offenlegung und Sicherheits-Bypässe zu verhindern.
„`