DOM Clobbering Gadget found in Webpack's AutoPublicPathRuntimeModule that leads to XSS · Advisory · webpack/webpack
webpackのセキュリティリリース。
ユーザーが任意の属性を含む<img>タグをかける場合に、webpackのpublicPath: 'auto'が有効なbundleを読み込むとXSSが発生する問題。
webpack 5.94.0で修正された。