Vulnerabilidad en Webpack (CVE-2025-68157)
Gravedad CVSS v3.1:
BAJA
Tipo:
CWE-918
Falsificación de solicitud en servidor (SSRF)
Fecha de publicación:
05/02/2026
Última modificación:
13/02/2026
Descripción
Webpack es un empaquetador de módulos. Desde la versión 5.49.0 hasta antes de la 5.104.0, cuando experiments.buildHttp está habilitado, el resolvedor HTTP(S) de webpack (HttpUriPlugin) aplica allowedUris solo para la URL inicial, pero no vuelve a validar allowedUris después de seguir redirecciones HTTP 30x. Como resultado, una importación que parece restringida a una lista de permitidos de confianza puede ser redirigida a URLs HTTP(S) fuera de la lista de permitidos. Esto es una omisión de política/lista de permitidos que habilita el comportamiento SSRF en tiempo de compilación (solicitudes desde la máquina de compilación a puntos finales solo internos, dependiendo del acceso a la red) y la inclusión de contenido no confiable en las salidas de compilación (el contenido redirigido se trata como fuente de módulo y se empaqueta). Este problema ha sido parcheado en la versión 5.104.0.
Impacto
Puntuación base 3.x
3.70
Gravedad 3.x
BAJA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:webpack.js:webpack:*:*:*:*:*:node.js:*:* | 5.49.0 (incluyendo) | 5.104.0 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página