There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Impact: When a user-configured proxy on webpack-dev-server has a broad context (e.g. /) and ws: true, it
    also intercepts the dev server's own HMR WebSocket and forwards it to the proxy target. This leaks the
    browser's cookies and Origin header to the backend, bypasses the dev server's Host/Origin validation, and
    corrupts the HMR socket (both HMR and the proxy end up writing to the same socket). Patches: Fixed in
    webpack-dev-server@5.2.5. Workarounds: Scope user-defined proxy context to specific paths instead of /, or
    omit ws: true from the proxy entry when WebSocket forwarding is not required. (CVE-2026-9595)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 影響：當 webpack-dev-server 上的使用者設定 Proxy 具有廣泛的上下文 （例如 /） 且 ws： true 時，它也會攔截開發伺服器自己的 HMR WebSocket 並將其轉送至 Proxy 目標。這會將瀏覽器的 cookie 和 Origin 標頭洩露到後端，繞過開發伺服器的主機/來源驗證，並損壞 HMR 通訊端（HMR 和代理最終都會寫入相同的通訊端）。修補程式：在 webpack-dev-server@5.2.5 中修正。因應措施：將使用者定義的 Proxy 內容範圍限定為特定路徑，而不是 /，或在不需要 WebSocket 轉送時，從 Proxy 項目中省略 ws： true。（CVE-2026-9595）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 影响：当用户在 webpack-dev-server 上配置的代理具有广泛的上下文（如 /）且 ws： true 时，它也会拦截 dev 服务器自有的 HMR WebSocket 并将其转发到代理目标。这会将浏览器的 Cookie 和 Origin 标头泄露到后端，绕过开发服务器的主机/源验证，并损坏 HMR 套接字（HMR 和代理最终都会写入同一个套接字）。修补程序：已在 webpack-dev-server@5.2.5 中修复。变通方案：将用户定义的代理上下文限定为特定路径（而不是 /），或者在不需要 WebSocket 转发时从代理条目中忽略 ws： true。（CVE-2026-9595）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 影響:webpack-dev-server 上のユーザーが構成したプロキシが、広範なコンテキスト(例えば /)を持ち、ws: が true である場合、開発サーバー自身の HMR WebSocket もインターセプトし、それをプロキシターゲットに転送します。これにより、ブラウザのクッキーと Origin ヘッダーがバックエンドに漏洩し、開発サーバーのホスト/生成元検証がバイパスされ、HMR ソケットが破損します(HMR とプロキシの両方が、同じソケットに書き込むことになります)。パッチ:webpack-dev-server@5.2.5 で修正済み。回避策:WebSocket 転送が不要な場合、ユーザー定義のプロキシコンテキストを / ではなく特定のパスにスコープ設定するか、プロキシエントリから ws: true を省略します。(CVE-2026-9595)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Impact: When a user-configured proxy on webpack-dev-server has a broad context (e.g. /) and ws: true, it     also intercepts the dev server's own HMR WebSocket and forwards it to the proxy target. This leaks the     browser's cookies and Origin header to the backend, bypasses the dev server's Host/Origin validation, and     corrupts the HMR socket (both HMR and the proxy end up writing to the same socket). Patches: Fixed in     webpack-dev-server@5.2.5. Workarounds: Scope user-defined proxy context to specific paths instead of /, or     omit ws: true from the proxy entry when WebSocket forwarding is not required. (CVE-2026-9595)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
443351	SCA: security update for webpack-dev-server (GHSA-mx8g-39q3-5c79)	Tenable Cloud Security	SCA Checks	2026/6/17	2026/7/6	medium
443351	SCA: security update for webpack-dev-server (GHSA-mx8g-39q3-5c79)	Tenable Self-Hosted Container Security	SCA Checks	2026/6/17	2026/7/6	medium
322466	Linux Distros 未修補弱點：CVE-2026-9595	Nessus	Misc.	2026/6/24	2026/7/28	medium
322466	Linux Distros 未修补的漏洞：CVE-2026-9595	Nessus	Misc.	2026/6/24	2026/7/28	medium
322466	Linux Distros のパッチ未適用の脆弱性: CVE-2026-9595	Nessus	Misc.	2026/6/24	2026/7/28	medium
322466	Linux Distros Unpatched Vulnerability : CVE-2026-9595	Nessus	Misc.	2026/6/24	2026/7/28	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium