CVE-2024-29180

Antes de las versiones 7.1.0, 6.1.2 y 5.3.4, el middleware de desarrollo webpack-dev-middleware para devpack no valida suficientemente la dirección URL proporcionada antes de devolver el archivo local. Es posible acceder a cualquier archivo en la máquina del desarrollador. El middleware puede funcionar con el sistema de archivos físico al leer los archivos o puede usar un sistema de archivos virtualizado en memoria "memfs". Si la opción de configuración `writeToDisk` está establecida en `true`, se utiliza el sistema de archivos físico. El método `getFilenameFromUrl` se utiliza para analizar la URL y crear la ruta del archivo local. El prefijo de ruta pública se elimina de la URL y el sufijo de ruta "sin separar" se agrega a "outputPath". Como la URL no se elimina y se normaliza automáticamente antes de llamar al midlleware, es posible utilizar las secuencias `%2e` y `%2f` para realizar un ataque de path traversal. Los desarrolladores que utilizan `webpack-dev-server` o `webpack-dev-middleware` se ven afectados por el problema. Cuando se inicia el proyecto, un atacante podría acceder a cualquier archivo en la máquina del desarrollador y extraer el contenido. Si el servidor de desarrollo está escuchando en una dirección IP pública (o `0.0.0.0`), un atacante en la red local puede acceder a los archivos locales sin ninguna interacción por parte de la víctima (conexión directa al puerto). Si el servidor permite el acceso desde dominios de terceros, un atacante puede enviar un enlace malicioso a la víctima. Cuando se visita, el script del lado del cliente puede conectarse al servidor local y extraer los archivos locales. A partir de las versiones corregidas 7.1.0, 6.1.2 y 5.3.4, la URL no tiene escape y se normaliza antes de cualquier procesamiento posterior.

A flaw was found in the webpack-dev-middleware package, where it failed to validate the supplied URL address sufficiently before returning local files. This flaw allows an attacker to craft URLs to return arbitrary local files from the developer's machine. The lack of normalization before calling the middleware also allows the attacker to perform path traversal attacks on the target environment.