Connexion Inscription
JA · EN · FR
SecPulse
Catégories
CVE-2026-76844 high CVSS 7.4

Écriture hors limites dans webpack-dev-middleware (CVE-2026-76844)

Résumé

écriture hors limites dans webpack-dev-middleware (CVE-2026-76844). Les données peuvent être altérées par des attaquants. Exploitable via getFilenameFromUrl. Atténuation : mise à jour vers 7.4.6 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

[!IMPORTANT]
CVE-2026-76844 was assigned and published for this issue by VulnCheck on 2026-08-24 without prior coordination with the webpack maintainers or the OpenJS Foundation, which holds the CVE Numbering Authority scope for webpack projects. Neither the maintainers nor the OpenJS CNA were notified before publication, and no fix was available at that time. This advisory is the coordinated record produced by the webpack maintainers and the OpenJS Foundation CNA.

Impact

webpack-dev-middleware resolves a request to a local file in getFilenameFromUrl. When the configured publicPath has no trailing slash (for example /assets), a request that shares that prefix without being under it (for example /assets../secret) still passes the containment check, and the .. guard does not catch it because it runs on the path before the publicPath prefix is stripped. The stripped remainder then escapes the configured output directory once joined, so an unauthenticated request can read files outside the output root. Applications serving webpack-dev-middleware (directly or via webpack-dev-server) with a publicPath that does not end in a slash are affected. A development server reachable on the network can be attacked with a single request and no victim interaction.

Patches

Patched in webpack-dev-middleware 8.3.0. There is no backport to the 5.x, 6.x, or 7.x lines; users on those lines should upgrade to 8.3.0 or later.

Workarounds

Configure `publicPath…

Source: GitHub Security Advisories (Global) NVD GitHub Advisory

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2026-76844 a été découverte dans webpack-dev-middleware.
Des attaquants peuvent cibler un point d'entrée spécifique comme getFilenameFromUrl à distance pour détourner le produit.
Les données peuvent être altérées par des attaquants. Score CVSS : 7.4/10.
Action : mettez à jour webpack-dev-middleware vers 7.4.6 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « webpack-dev-middleware CVE-2026-76844 » sur le site de l'éditeur.

CVE-2026-76844 (webpack-dev-middleware) — CWE-787 / CVSS v3 7.4
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : getFilenameFromUrl / publicPath
Correctif : 7.4.6 — appliquer immédiatement
Contournement : Configure publicPath with a trailing slash (for example /assets/ instead of /assets), or upgrade to a patched version.
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une écriture hors limites (CWE-787) affecte webpack-dev-middleware. Les attaquants atteignent le code vulnérable via getFilenameFromUrl sans authentification.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de webpack-dev-middleware. Surface d'attaque : getFilenameFromUrl / publicPath.

🔥 Gravité

Gravité : Élevée (CVSS 7.4/10). Les données peuvent être altérées par des attaquants.

🔧 Comment corriger

Mettre à jour vers 7.4.6.

🛡️ Contournement

Contournement : Configure publicPath with a trailing slash (for example /assets/ instead of /assets), or upgrade to a patched version.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

  1. 1
    Identify exposure identify 
    grep -r 'webpack-dev-middleware' . | grep -v node_modules

    リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で webpack-dev-middleware を grep し、稼働しているサービス・バージョンを把握する。

  2. 2
    Apply temporary workaround mitigate 
    Configure `publicPath` with a trailing slash (for example `/assets/` instead of `/assets`), or upgrade to a patched version.

    パッチが適用されるまでの応急処置として、Configure publicPath with a trailing slash (for example /assets/ instead of /assets), or upgrade to a patched version. を実施。回避策の副作用 (機能低下) を確認した上で。

  3. 3
    Apply patch patch 
    Upgrade webpack-dev-middleware to 7.4.6

    ステージング環境で 7.4.6 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。

  4. 4
    Post-deployment verification verify 
    Confirm patched version is live in production

    パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

Paquets affectés

npm webpack-dev-middleware
[{"type":"SEMVER","events":[{"introduced":"0"},{"fixed":"7.4.6"}]}]

Références

Nous utilisons des cookies pour l'analyse d'audience et la mesure publicitaire. Ce réglage s'applique à tous les sites de Game co., Ltd. En savoir plus