Версии webpack-dev-сервера до 5.2.3 включительно уязвимы для воздействия исходного кода к перекрестному происхождению при обслуживании по н…

Версии webpack-dev-сервера до 5.2.3 включительно уязвимы для воздействия исходного кода к перекрестному происхождению при обслуживании по непотенциально надежному происхождению, такому как простой HTTP. Предыдущее исправление основывались на заголовках запросов Sec-Fetch-Mode и Sec-Fetch-Site, которые браузеры опускают для ненадежного происхождения, что позволяет вредоносному сайту загружать объединенный источник в качестве скрипта и читать его истокам. Злоумышленник, управляющий веб-сайтом, посещаемым разработчиком, работающим под управлением webpack-dev-server, может восстановить исходный код приложения, когда сервер разработчика работает по HTTP в угадываемом хосте и порту. Браузеры на основе Chromium от Chrome 142 не затрагиваются из-за ограничений доступа к сети. Обновление до webpack-dev-server 5.2.4 или более поздней версии, в котором устанавливается Cross-Origin-Resource-Policy: одно и то же по роду ответов.