CVE-2023-34092

Vite to framework narzędziowy dla JavaScript, który przed wersjami 8.0.16, 7.3.5 i 6.4.3 mógł zwracać zawartość plików określonych przez server.fs.deny do przeglądarki na systemie Windows. Problemy z normalizacją ścieżek NTFS ADS pozwalały na nieautoryzowany dostęp do wrażliwych plików.

Vite, framework narzędziowy frontendu dla JavaScript, w wersjach od 6.0.0 do przed 6.4.2, 7.3.2 i 8.0.5, ma podatność w obsłudze żądań .map dla zoptymalizowanych zależności. Serwer deweloperski rozpoznaje ścieżki plików i wywołuje readFile bez ograniczania segmentów ../ w URL, co pozwala ominąć listę dozwolonych server.fs.strict i odczytać pliki .map poza katalogiem projektu, jeśli mogą być sparsowane jako poprawny JSON mapy źródłowej.

Vite (framework frontendowy dla JavaScript) w wersjach od 7.1.0 do przed 7.3.2 oraz 8.0.5 pozwala na ominięcie ograniczeń server.fs.deny. Pliki takie jak .env czy *.crt mogą być pobrane z kodem odpowiedzi HTTP 200 po dodaniu parametrów zapytania ?raw, ?import&raw lub ?import&url&inline.

Podatność w Vite (framework narzędziowy dla JavaScript) w wersjach od 6.0.0 do przed 6.4.2, 7.3.2 i 8.0.5 umożliwia atakującemu, który może połączyć się z WebSocket serwera deweloperskiego Vite bez nagłówka Origin, wywołanie fetchModule przez zdarzenie WebSocket vite:invoke i odczytanie dowolnych plików na serwerze jako ciągu JavaScript. Kontrola dostępu z żądań HTTP nie jest stosowana do tego kanału WebSocket.

Vite to framework narzędziowy frontendowy dla JavaScriptu. W wersjach od 2.9.18 do przed 3.0.0, od 3.2.9 do przed 4.0.0, od 4.5.3 do przed 5.0.0, od 5.2.6 do przed 5.4.21, od 6.0.0 do przed 6.4.1, od 7.0.0 do przed 7.0.8 oraz od 7.1.0 do przed 7.1.11 pliki zabronione przez server.fs.deny były wysyłane, jeśli URL kończył się znakiem \, gdy serwer deweloperski działał w systemie Windows. Problem dotyczył tylko aplikacji, które jawnie wystawiały serwer deweloperski Vite do sieci i działały w systemie Windows.

Vite przed wersjami 7.1.5, 7.0.7, 6.3.6 i 5.4.20 serwuje dowolne pliki HTML na maszynie, niezależnie od ustawień server.fs. Dotyczy to aplikacji wystawiających serwer deweloperski na sieć (--host lub server.host) i używających appType 'spa' lub 'mpa'. Podatny jest również serwer podglądu.