Veille sécuritéFrontend
P3Élevée
Lorsque le proxy de webpack-dev-server relaie les WebSockets, des mises à niveau WebSocket non-HMR peuvent atteindre la cible sans validation adéquate des en-têtes Host et Origin. Une page malveillante visitée par un développeur peut alors accéder au backend proxifié ; mettre à jour vers une version corrigée.
Webpack
IdentifiantCVE-2026-112085
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctifwebpack-dev-server 5.2.7 ou 6.1.0
Source : NVD — CVE-2026-112085
Analyse technique
Le défaut concerne les entrées proxy configurées pour transmettre les WebSockets ; les protections allowedHosts et les contrôles Host/Origin ne s’appliquaient pas à ces mises à niveau proxifiées.
Impact, versions et correctif
Événement datéNouvelle publication NVD datée du 2026-10-22 ; le candidat indique aussi une mise à jour NVD le même jour, mais la vulnérabilité est retenue comme nouvelle publication dans la période.
ImpactUn site malveillant peut établir une connexion WebSocket cross-origin au backend accessible par le proxy de développement, avec possibilité de lire ou modifier des données.
Versions affectéesVersions antérieures à 5.2.7 et version 6.0.0
Version corrigéewebpack-dev-server 5.2.7 ou 6.1.0
ContournementDésactiver le relais WebSocket dans les règles proxy qui n’en ont pas besoin et limiter le proxy aux chemins requis.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.2 · CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:L/A:N
EPSS0,16% · percentile 5,3%
Publication2026-10-22T12:17:08+02:00
Mise à jour2026-10-22T17:25:10+02:00
Action recommandée
Mettre à jour webpack-dev-server vers 5.2.7 ou 6.1.0, ou une version ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).