webpack buildHttp: allowedUris 允许列表绕过，通过 URL userinfo (@) 导致构建时 SSRF 行为

该 SSRF 漏洞允许攻击者在 webpack 构建过程中发起任意 HTTP(S) 请求，绕过预期的 allowedUris 限制。攻击者可以利用此漏洞访问内部资源、扫描内部网络，甚至可能执行更严重的攻击，例如读取敏感数据或与外部系统交互。由于该漏洞发生在构建时，攻击者需要控制构建过程才能利用它，例如通过污染构建依赖或修改 webpack 配置文件。如果 allowedUris 的验证依赖于简单的字符串前缀检查，则更容易被绕过，因为 URL 解析后实际的网络请求可能指向不同的主机。

Node.js projects utilizing webpack's experiments.buildHttp feature and relying on prefix-based allowedUris validation are at risk. This includes projects using webpack for bundling, asset management, and build automation, particularly those with custom build configurations or those integrating webpack into CI/CD pipelines.

• nodejs / supply-chain:

  npm list webpack
  # Check for versions < 5.104.1

• generic web:

  grep -r 'experiments.buildHttp: true' webpack.config.js
  # Look for webpack configurations enabling the vulnerable feature

1. 2026-02-05Disclosure

   disclosure

1. 已保留2025-12-17
2. 发布日期2026-02-05
3. 修改日期2026-02-14
4. EPSS 更新日期2026-03-23

最有效的缓解措施是升级至 webpack 5.104.1 或更高版本，该版本修复了此漏洞。如果无法立即升级，可以考虑以下临时缓解措施：首先，禁用 experiments.buildHttp 功能，这将阻止 webpack 发起 HTTP(S) 请求。其次，严格审查和验证 allowedUris 配置，确保其能够有效防止攻击者绕过限制。第三，实施网络策略，限制 webpack 构建过程的网络访问权限，以减少潜在的攻击面。最后，监控 webpack 构建过程中的异常网络活动，以便及时发现和响应潜在的攻击。