Mantén seguras las compilaciones de Webpack fijadas sin tener que reescribir tu configuración ni actualizar tu cadena de cargadores

El equipo de webpack nunca ha publicado una fecha oficial de fin de soporte, pero en la práctica webpack 4 está obsoleto. Su última versión fue la 4.47.0 en septiembre de 2023, y no se han añadido correcciones de seguridad. npm aún conserva la etiqueta webpack-4, que apunta a esa versión, razón por la cual algunos equipos asumen que se mantiene. webpack 4 también sigue utilizando el algoritmo de hash md4, que falla en Node.js 17 y versiones posteriores con OpenSSL 3, a menos que se utilice la opción de proveedor heredado.

ELS actualmente cubre webpack 5.50.0, 5.55.0, 5.76.1, 5.88.2 y 5.94.0, junto con versiones seleccionadas de webpack-dev-server desde la 2.7.1 hasta la 4.15.2 y las dependencias cubiertas elegibles. Se pueden agregar versiones adicionales según cambien los requisitos del cliente. Comuníquese con TuxCare para consultar la cobertura de una versión no incluida en la lista.

Webpack 5 sigue en desarrollo activo, pero las correcciones de seguridad se incluyen en las nuevas versiones del paquete en lugar de incorporarse a todas las versiones anteriores de la serie 5.x. Incluso la versión más reciente cubierta presenta avisos de seguridad pendientes: CVE-2025-68157 y CVE-2025-68458, ambas publicadas en febrero de 2026, solo se corrigen en las versiones 5.104.0 y 5.104.1, y afectan a todas las versiones a partir de la 5.49.0 cuando se habilita experiments.buildHttp. Por lo tanto, un proyecto con esta vulnerabilidad tiene tres opciones: actualizar, mantener una bifurcación privada o utilizar soporte extendido comercial.

A veces llega a producción. CVE-2024-43788, corregido en la versión 5.94.0, era un mecanismo de manipulación del DOM en el código de ejecución de webpack que podía provocar XSS en páginas que servían archivos generados por webpack, y los investigadores de seguridad demostraron una vulnerabilidad funcional en Canvas LMS. CVE-2023-28154, corregido en la versión 5.76.0, permitía el acceso a objetos entre dominios durante el análisis. Los escáneres y auditores también detectan dependencias de desarrollo no compatibles, independientemente de dónde se ejecuten.

Con TuxCare ELS, configure el registro npm de TuxCare, reemplace su dependencia de webpack con el paquete @els-js/webpack correspondiente, agregue una entrada de anulaciones, reinstale sus dependencias y verifique el resultado con npm list. El parcheador de TuxCare también puede detectar las versiones de webpack compatibles y actualizar automáticamente las dependencias y anulaciones relevantes.

No. Los paquetes ELS son reemplazos que coinciden con la versión y están diseñados para preservar el comportamiento de la versión de webpack que ya usa tu proyecto. Tus puntos de entrada, cargadores, complementos, reglas de salida, configuraciones de optimización y scripts npm pueden permanecer intactos. La implementación requiere la configuración del registro y las dependencias, en lugar de reescribir la configuración, y los paquetes son compatibles con Docker, por lo que se integran fácilmente en entornos de compilación y CI en contenedores.

La actualización es la opción preferida a largo plazo cuando tu proyecto está listo. En la práctica, una actualización de webpack también puede requerir actualizaciones de Node.js, la CLI de webpack, los complementos, los cargadores y las opciones de configuración obsoletas, y puede modificar el hash, los ID de los módulos o el manejo de recursos de forma que afecte a la invalidación de la caché y a las compilaciones reproducibles. ELS mantiene una versión parcheada mientras tu equipo planifica y prueba esos cambios según un cronograma manejable.