JVNDB-2026-022718

webpackのwebpack-dev-serverにおける複数の脆弱性

webpack-dev-server バージョン 5.2.5 以前では、認証されていないピアからの不正な Host ヘッダーを含む通常の HTTP リクエスト、または不正な Origin ヘッダーを含むデフォルトの /ws エンドポイントへの WebSocket アップグレード要求を受け取ると、Node.js プロセス全体が終了します。不正な値はホスト検証パスで未捕捉の例外を引き起こし、開発サーバーがクラッシュします。影響は開発サーバーの可用性に限定されており、データの漏洩やコード実行は発生しません。対策としては、webpack-dev-server をバージョン 5.2.6 にアップグレードしてください。回避策としては、開発サーバーをローカルホスト（デフォルト）にバインドし、信頼できないネットワークに公開しないでください。

webpack

• webpack-dev-server 5.2.6 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : webpack-dev-server vulnerable to denial of service via a malformed Host or Origin header  Advisory  webpack/webpack-dev-server  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. 不適切な入力確認(CWE-20) [その他]
2. キャッチされない例外(CWE-248) [その他]

1. CVE-2026-14631

1. National Vulnerability Database (NVD) : CVE-2026-14631

• [2026年07月09日]
    掲載