webpack-dev-server vulnerable to HMR WebSocket interception via permissive user proxies
Impact
When a user-configured proxy on webpack-dev-server has a broad context (e.g. /) and ws: true, it also intercepts the dev server's own HMR WebSocket and forwards it to the proxy target. This leaks the browser's cookies and Origin header to the backend, bypasses the dev server's Host/Origin validation, and corrupts the HMR socket (both HMR and the proxy end up writing to the same socket).
Patches
Fixed in webpack-dev-server 5.2.5.
Workarounds
Scope user-defined proxy context to specific paths instead of /, or omit ws: true from the proxy entry when WebSocket forwarding is not required.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | webpack-dev-server | < 5.2.5 | 5.2.5 |
Referencias
- https://github.com/webpack/webpack-dev-server/security/advisories/GHSA-mx8g-39q3-5c79
- https://nvd.nist.gov/vuln/detail/CVE-2026-9595
- https://github.com/facebook/create-react-app/pull/7444
- https://github.com/webpack/webpack-dev-server/pull/4316
- https://github.com/vuejs/vue-cli/commit/72ba7505aff2a8314e82aa5082379a77504a1fcb
- https://cna.openjsf.org/security-advisories.html
- https://github.com/webpack/webpack-dev-server
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L- Debilidad (CWE)
CWE-346, CWE-441- Plataforma
- npm
- Paquete
webpack-dev-server- Publicada
- 17.06.2026
- Actualizado
- 11.10.2026 10:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-mx8g-39q3-5c79 - CC BY 4.0
Historial de vulnerabilidades: webpack-dev-server
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 7
- Primera → última
- 01.2019 07.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 1
- Media 6
Divulgaciones por año
- 2019: 1
- 2020: 0
- 2021: 0
- 2022: 0
- 2023: 0
- 2024: 0
- 2025: 2
- 2026: 4
-
webpack-dev-server vulnerable to HMR WebSocket interception via permissive user proxies esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.