🇰🇷 한글 설명
webpack-dev-server는 webpack 프로젝트에 라이브 리로딩을 제공하는 개발 서버입니다. 5.2.7 이전 버전 및 6.0.0에서는 proxy 설정에 WebSocket 포워딩이 포함된 경우 Host/Origin 헤더 검증 없이 non-HMR WebSocket 업그레이드 요청을 프록시 대상으로 전달하여 allowedHosts 보호가 적용되지 않습니다. 이로 인해 악성 웹페이지가 개발자의 브라우저를 통해 교차 출처 WebSocket을 열고 프록시된 백엔드를 읽고 쓸 수 있습니다.
💡 쉬운 설명
개발자가 악성 웹사이트를 방문하면, 그 사이트가 로컬 개발 서버를 거쳐 뒤쪽 서버와 몰래 통신할 수 있습니다. 서버가 로컬에서만 실행 중이어도 위험이 있습니다.
🇺🇸 원문 (English)
webpack-dev-server is a development server that provides live reloading for webpack projects. In versions before 5.2.7 and in version 6.0.0, when a proxy entry is configured to forward WebSockets, the server forwards non-HMR WebSocket upgrade requests to the proxy target without validating the Host or Origin headers, so the allowedHosts protection does not apply to those proxied upgrades. A malicious web page visited by a developer can open a cross-origin WebSocket through the dev server and read from and write to the proxied backend, even when the server is bound to loopback. The issue is fixed in webpack-dev-server 5.2.7 and 6.1.0, where proxied WebSocket upgrades pass the same Host and Origin validation as the HMR WebSocket, and users should upgrade to one of those versions or later. As a workaround, omit WebSocket forwarding from proxy entries that do not need it and scope the proxy to specific paths.
📍 영향받는 시스템
webpack-dev-server 5.2.7 미만 및 6.0.0 (proxy에서 WebSocket 포워딩 사용 시)
⚔️ 공격 벡터
개발자가 악성 웹페이지를 방문하면 해당 페이지가 개발 서버를 통해 프록시된 백엔드에 교차 출처 WebSocket으로 접근하여 데이터를 읽고 씁니다.
🛡️ 대응 방법
webpack-dev-server를 5.2.7 또는 6.1.0 이상으로 업그레이드하고, 불필요한 proxy WebSocket 포워딩을 제거하며 프록시를 특정 경로로 제한합니다.
🔧 검증 코드
출력된 버전이 5.2.7 미만이거나 6.0.0이면 취약하며, 5.2.7 이상 또는 6.1.0 이상이면 패치된 버전입니다.
npm ls webpack-dev-server 2>/dev/null | grep webpack-dev-server