webpack-dev-server: Cross-Origin-WebSocket-Zugriff über proxied Upgrades

Zusammenfassung

webpack-dev-server leitet WebSocket-Upgrade-Anfragen, die nicht zu HMR gehören, ohne Prüfung der Host- und Origin-Header an das konfigurierte Proxy-Ziel weiter. Dadurch gilt allowedHosts für diese Anfragen nicht. Eine bösartige Webseite, die ein Entwickler besucht, kann so über den Dev-Server eine Cross-Origin-WebSocket-Verbindung öffnen und das dahinterliegende Backend lesen und beschreiben, auch wenn der Server nur auf Loopback gebunden ist. Voraussetzung ist ein Proxy-Eintrag mit ws: true und dass der Entwickler die bösartige Seite besucht.

Betroffen

• webpack-dev-server-Versionen vor 5.2.7
• webpack-dev-server 6.0.0 bis vor 6.1.0
• Nur Konfigurationen mit einem devServer.proxy-Eintrag, der ws: true enthält, sind betroffen.
• Versionen der 4.x-Linie: Unbekannt.

Behoben in

• Auf webpack-dev-server 5.2.7 oder 6.1.0 oder neuer aktualisieren.

Umgehung

• ws: true aus devServer.proxy-Einträgen entfernen, bei denen die proxied API kein WebSocket-Forwarding benötigt.
• Proxy-Kontext auf bestimmte Pfade beschränken.

Ausnutzung

• Kein öffentlicher Proof of Concept gefunden.
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. KEV-Status: Unbekannt.
• EPSS-Score: 0.00147. CISA SSVC: Exploitation none, nicht automatisierbar.

Unsere Empfehlung

• Alle webpack-dev-server-Kopien in euren Projekten finden, auch transitive (z. B. npm ls webpack-dev-server).
• Auf 5.2.7 oder 6.1.0 aktualisieren; jede 4.x-Kopie auf 5.x oder neuer umstellen.
• Bis zur Aktualisierung ws: true aus Proxy-Einträgen entfernen, die es nicht benötigen.
• Dev-Server nicht von Entwickler-Laptops gegen Produktions- oder gemeinsam genutzte Backends betreiben.
• Während ein Dev-Server mit WebSocket-Proxies läuft, keine unbekannten Webseiten besuchen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-cfqc-fj3v-j925 github.com
• OpenJS CNA Security Advisories cna.openjsf.org
• webpack-dev-server release v5.2.7 github.com
• Ubuntu CVE-2026-112085 ubuntu.com
• Tenable CVE-2026-112085 www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:13.