Veille sécuritéFrontend
P4Moyenne
L’endpoint open-editor peut contourner la validation de Host lorsqu’une valeur malformée commence par file: ou un schéma d’extension. Une requête réseau peut provoquer une réponse HTTP 500 exposant une trace d’exception et des chemins locaux ; le serveur ne s’arrête pas.
Webpack
IdentifiantCVE-2026-114348
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctifwebpack-dev-server 5.2.7 ou 6.1.0
Source : NVD — CVE-2026-114348
Analyse technique
La validation Host utilise une expression régulière destinée aux schémas Origin ; la valeur malformée peut faire échouer la construction d’URL et révéler la pile d’appels en mode non-production par défaut.
Impact, versions et correctif
Événement datéNouvelle publication NVD datée du 2026-10-22 ; le candidat indique aussi une mise à jour NVD le même jour, mais la vulnérabilité est retenue comme nouvelle publication dans la période.
ImpactDivulgation de chemins absolus, d’emplacements de modules installés et de numéros de ligne internes.
Versions affectéeswebpack-dev-server de 5.1.0 à moins de 5.2.7, et version 6.0.0
Version corrigéewebpack-dev-server 5.2.7 ou 6.1.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,34% · percentile 26,6%
Publication2026-10-22T12:17:08+02:00
Mise à jour2026-10-22T17:25:10+02:00
Action recommandée
Mettre à jour webpack-dev-server vers 5.2.7 ou 6.1.0, ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).