平台
nodejs
组件
webpack-dev-server
修复版本
5.2.2
5.2.1
CVE-2025-30360 describes a WebSocket hijacking vulnerability within webpack-dev-server. This flaw allows malicious websites, particularly those served over IP addresses, to establish WebSocket connections, potentially leading to code sniffing. The vulnerability affects versions prior to 5.2.1, and a fix has been released.
CVE-2025-30360 影响 webpack-dev-server，在特定情况下可能导致源代码泄露。此漏洞在于 webpack-dev-server 处理 'Origin' 头的方式。虽然为了应对 CVE-2018-14732，已实施了检查以防止跨站点 WebSocket 劫持 (Cross-site WebSocket hijacking)，但服务器仍然接受包含 IP 地址的 'Origin' 头。这意味着托管在 IP 地址上的网站可以与 webpack-dev-server 建立 WebSocket 连接，从而可能允许攻击者访问开发服务器提供的源代码。此风险对于在开发环境中使用的 webpack-dev-server 且未使用 Chromium 浏览器的开发人员尤其重要。CVSS 严重程度为 6.5，表明存在中等风险。
利用此漏洞需要攻击者控制从 IP 地址提供的网站。该网站可以随后向 webpack-dev-server 发送包含攻击者 IP 地址的 'Origin' 头部的 WebSocket 请求。如果 webpack-dev-server 未更新，它将接受连接，攻击者可能能够访问源代码。利用成功取决于服务器配置和实施的安全措施。在安全措施不太严格的开发环境中，更容易利用此漏洞。
Development teams and DevOps engineers utilizing webpack-dev-server in their development or testing workflows are at risk. Specifically, those using older versions of webpack-dev-server (prior to 5.2.1) and those exposing webpack-dev-server to external networks are particularly vulnerable. Shared hosting environments where webpack-dev-server is running on a shared IP address also present a heightened risk.
• nodejs: Monitor webpack-dev-server logs for unusual WebSocket connection attempts originating from unexpected IP addresses. Use lsof or ss to identify active WebSocket connections and their source IPs.
lsof -i :8080 | grep ws• generic web: Examine access logs for requests containing IP addresses in the Origin header. Implement a WAF rule to block requests with IP-based origins.
grep 'Origin: [0-9.]+' /var/log/apache2/access.logdisclosure
漏洞利用状态
EPSS
0.06% (18% 百分位)
CISA SSVC
针对 CVE-2025-30360 的主要缓解措施是将 webpack-dev-server 升级到 5.2.1 或更高版本。此版本通过限制允许的 'Origin' 头来修复漏洞。此外，建议避免在生产环境中将 webpack-dev-server 用于生产环境。如果需要在开发环境中将其使用，请确保服务器受到防火墙保护，并且只能从受信任的网络访问。在源代码安全至关重要的环境中，请考虑使用更安全的开发服务器。监控服务器日志中与 WebSocket 连接相关的可疑活动。
Actualice webpack-dev-server a la versión 5.2.1 o superior. Esto corrige la vulnerabilidad de Cross-site WebSocket hijacking. Ejecute `npm install webpack-dev-server@latest` o `yarn add webpack-dev-server@latest` para actualizar.
漏洞分析和关键警报直接发送到您的邮箱。
webpack-dev-server 是一个开发工具，为 Web 应用程序提供本地开发环境。
版本 5.2.1 修复了 CVE-2025-30360 漏洞，该漏洞允许泄露源代码。
强烈建议升级。如果无法升级，请实施额外的安全措施，例如限制对服务器的访问。
如果您使用的是 webpack-dev-server 的 5.2.1 之前的版本，则很可能受到影响。
检查服务器日志中是否存在可疑活动，并考虑进行安全审计。
CVSS 向量