JVNDB-2026-016320

webpackのwebpack-dev-serverにおける危険なメソッドや機能の公開に関する脆弱性

webpack-dev-serverのバージョン5.2.3以下には、プレーンHTTPなどの信頼されていないオリジンでサービスを提供する場合にクロスオリジンでソースコードが露出する脆弱性があります。以前の修正はSec-Fetch-ModeおよびSec-Fetch-Siteリクエストヘッダーに依存していましたが、これらのヘッダーは信頼されていないオリジンではブラウザによって省略されるため、悪意のあるサイトがバンドルされたソースをスクリプトとして読み込み、オリジンを超えて内容を閲覧できてしまいます。影響としては、webpack-dev-serverを使用する開発者が訪問するウェブサイトを攻撃者が制御している場合、HTTPで予測可能なホストとポート上でdevサーバーが稼働していると、アプリケーションのソースコードが回収される可能性があります。Chrome142以降のChromiumベースブラウザはローカルネットワークアクセス制限のため影響を受けません。レスポンスにCross-Origin-Resource-Policy: same-originを設定したwebpack-dev-server 5.2.4以降へアップグレードすることが推奨されます。

webpack

• webpack-dev-server 5.2.4 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : webpack-dev-server vulnerable to cross-origin source code exposure on non-HTTPS origins  Advisory  webpack/webpack-dev-server  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. 危険なメソッドや機能の公開(CWE-749) [その他]

1. CVE-2026-6402

1. National Vulnerability Database (NVD) : CVE-2026-6402

• [2026年05月20日]
    掲載