Mantenha as compilações do Webpack fixadas em segurança sem precisar reescrever sua configuração ou atualizar sua cadeia de carregadores

A equipe do webpack nunca divulgou uma data oficial de fim de vida útil (EOL), mas, na prática, o webpack 4 está descontinuado. Sua última versão foi a 4.47.0, lançada em setembro de 2023, e nenhuma correção de segurança foi lançada desde então. O npm ainda mantém uma tag “webpack-4” apontando para essa versão, e é por isso que algumas equipes presumem que ela ainda seja mantida. O webpack 4 também ainda usa o hash MD4, o que falha no Node.js 17 e versões posteriores com o OpenSSL 3, a menos que seja executado com o sinalizador “legacy provider”.

Atualmente, o ELS oferece cobertura para as versões 5.50.0, 5.55.0, 5.76.1, 5.88.2 e 5.94.0 do webpack, além de versões selecionadas do webpack-dev-server, da 2.7.1 à 4.15.2, e dependências elegíveis incluídas na cobertura. Outras versões poderão ser adicionadas à medida que as necessidades dos clientes mudarem. Entre em contato com a TuxCare para discutir a cobertura de uma versão que não conste na lista.

O webpack 5 continua em desenvolvimento ativo, mas as correções de segurança são lançadas em novas versões do pacote, em vez de serem retroportadas para todas as versões históricas da série 5.x. Mesmo a versão mais recente coberta pelo suporte apresenta alertas de segurança abertos do upstream: CVE-2025-68157 e CVE-2025-68458, ambos publicados em fevereiro de 2026, foram corrigidos apenas nas versões 5.104.0 e 5.104.1, e afetam todas as versões a partir da 5.49.0 quando o `experiments.buildHttp` está habilitado. Um projeto fixado, portanto, tem três opções: atualizar, manter um fork privado ou utilizar suporte estendido comercial.

Às vezes, a vulnerabilidade chega ao ambiente de produção. A CVE-2024-43788, corrigida na versão 5.94.0 do código-fonte, era uma falha de manipulação do DOM no próprio código de tempo de execução do webpack que poderia levar a um ataque XSS em páginas que serviam arquivos gerados pelo webpack, e pesquisadores de segurança demonstraram uma exploração funcional no Canvas LMS. A vulnerabilidade CVE-2023-28154, corrigida na versão 5.76.0, permitia o acesso a objetos entre domínios durante a análise. Scanners e auditores também sinalizam devDependencies não suportadas, independentemente de onde sejam executadas.

Com o TuxCare ELS, configure o registro npm do TuxCare, substitua sua dependência do webpack pelo pacote @els-js/webpack correspondente, adicione uma entrada de substituição, reinstale suas dependências e verifique o resultado com o comando `npm list`. O TuxCare Patcher também pode detectar as versões compatíveis do webpack e atualizar automaticamente as dependências e substituições relevantes.

Não. Os pacotes ELS são substitutos compatíveis com a versão, projetados para preservar o comportamento da versão do webpack que seu projeto já utiliza. Seus pontos de entrada, carregadores, plug-ins, regras de saída, configurações de otimização e scripts do npm podem permanecer como estão. A implantação requer a configuração do registro e das dependências, em vez de uma reescrita da configuração, e os pacotes são compatíveis com o Docker, podendo, portanto, ser facilmente integrados em ambientes de compilação e CI em contêineres.

A atualização é a abordagem preferida a longo prazo quando seu projeto estiver pronto. Na prática, uma atualização do Webpack também pode exigir atualizações do Node.js, da CLI do Webpack, de plug-ins, de carregadores e de opções de configuração obsoletas, além de poder alterar o hash, os IDs dos módulos ou o gerenciamento de ativos de maneiras que afetem a limpeza do cache e a reprodutibilidade das compilações. O ELS mantém uma versão coberta e atualizada enquanto sua equipe planeja e testa essas mudanças em um cronograma viável.