Parcel has an Origin Validation Error vulnerability

中 6.5CVE-2025-56648 · GHSA-qm9p-f9j5-w83w · 17/09/2025 公開 · 17/06/2026 更新

要点

CVE-2025-56648 は parcel (parceljs), @parcel/reporter-dev-server に影響する深刻度「中」 (CVSS 6.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.24%（全脆弱性の 14.7% より高い）。
対処：2.16.4 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
parcel parceljs	`= 2.0.0≤ 1.10.3`	修正版なし
@parcel/reporter-dev-server npm	`≥ 1.6.1, < 2.16.4`	`2.16.4`

概要

parcel versions 1.6.1 and above have an Origin Validation Error vulnerability. Malicious websites can send XMLHTTPRequests to the application's development server and read the response to steal source code when developers visit them. Version 2.16.4 supports a --no-cors option which disables CORS headers in the dev server.

NVD の説明

npm parcel 2.0.0-alpha and before has an Origin Validation Error vulnerability. Malicious websites can send XMLHTTPRequests to the application's development server and read the response to steal source code when developers visit them.

参考情報

nvd.nist.gov/vuln/detail/CVE-2025-56648 · ADVISORY
parcel-bundler/parcel · WEB
parcel-bundler/parcel#10138 · WEB
parcel-bundler/parcel commit 4bc56e3 · WEB
parcel-bundler/parcel commit 9e2f6f1 · WEB
gist.github.com/R4356th/41f468def606b2406e36f7193f5322b8 · WEB
parcel-bundler/parcel · PACKAGE
parcel-bundler/parcel · WEB

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

parcel

parceljs

= 2.0.0≤ 1.10.3

修正版なし

@parcel/reporter-dev-server

npm

≥ 1.6.1, < 2.16.4

2.16.4

概要

NVD の説明