JVNDB-2026-022719

webpackのwebpack-dev-serverにおける複数の脆弱性

webpack-dev-serverのバージョン5.2.5およびそれ以前のバージョンは、内部開発者向けの2つのエンドポイント、/webpack-dev-server/open-editorおよび/webpack-dev-server/invalidateを公開しており、これらはGETリクエストごとに状態を変更するアクションを実行しますが、リクエストが開発サーバ自身のページから発されたものであるかどうかの検証を行いません。開発サーバが稼働中に開発者が訪れる任意のウェブサイトは、交差オリジンでこれらのエンドポイントをトリガーでき、訪問以外の操作は不要です。攻撃者は、プロジェクトルート外のファイルを含め、任意の既存のローカルファイルを開発者のエディタで開くことが可能であり、繰り返しのリクエストによってエディタのプロセスが多数起動され、再コンパイルが強制されて開発者のマシンのパフォーマンスが低下する恐れがあります。修正方法は、webpack-dev-serverをバージョン5.2.6へアップグレードすることです。回避策はありません。

webpack

• webpack-dev-server 5.2.6 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : webpack-dev-server vulnerable to cross-site request forgery via internal developer endpoints  Advisory  webpack/webpack-dev-server  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. クロスサイトリクエストフォージェリ(CWE-352) [その他]
2. 危険なメソッドや機能の公開(CWE-749) [その他]

1. CVE-2026-14620

1. National Vulnerability Database (NVD) : CVE-2026-14620

• [2026年07月09日]
    掲載