Aktywnie wykorzystywana w atakach
Vite Vitejs Improper Access Control Vulnerability
Vite - Vitejs · Figuruje w katalogu CISA KEV od 2026-01-22. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
CVE-2025-31125
ŚrednieCVSS 5.3KEVStreszczenie
Vite to framework narzędziowy frontendowy dla JavaScript. Vite ujawnia zawartość niedozwolonych plików przy użyciu ?inline&import lub ?raw?import. Podatność dotyczy tylko aplikacji, które jawnie wystawiają serwer deweloperski Vite do sieci (za pomocą opcji --host lub server.host). Podatność naprawiono w wersjach 6.2.4, 6.1.3, 6.0.13, 5.4.16 i 4.5.11.
Ocena ryzyka
Ujawnienie zawartości plików spoza dozwolonego zakresu może prowadzić do wycieku kodu źródłowego, konfiguracji lub danych wrażliwych z serwera deweloperskiego.
Rekomendacja
Zaktualizuj Vite do wersji 6.2.4, 6.1.3, 6.0.13, 5.4.16 lub 4.5.11 (lub nowszej) i unikaj wystawiania serwera deweloperskiego do sieci.
Inne podatności w Vite
Zobacz wszystkie- CVE-2026-53571Wysokie
Vite to framework narzędziowy dla JavaScript, który przed wersjami 8.0.16, 7.3.5 i 6.4.3 mógł zwracać zawartość plików określonych przez server.fs.deny do przeglądarki na systemie Windows. Problemy z normalizacją ścieżek NTFS ADS pozwalały na nieautoryzowany dostęp do wrażliwych plików.
- CVE-2026-39365Średnie
Vite, framework narzędziowy frontendu dla JavaScript, w wersjach od 6.0.0 do przed 6.4.2, 7.3.2 i 8.0.5, ma podatność w obsłudze żądań .map dla zoptymalizowanych zależności. Serwer deweloperski rozpoznaje ścieżki plików i wywołuje readFile bez ograniczania segmentów ../ w URL, co pozwala ominąć listę dozwolonych server.fs.strict i odczytać pliki .map poza katalogiem projektu, jeśli mogą być sparsowane jako poprawny JSON mapy źródłowej.
- CVE-2026-39364Wysokie
Vite (framework frontendowy dla JavaScript) w wersjach od 7.1.0 do przed 7.3.2 oraz 8.0.5 pozwala na ominięcie ograniczeń server.fs.deny. Pliki takie jak .env czy *.crt mogą być pobrane z kodem odpowiedzi HTTP 200 po dodaniu parametrów zapytania ?raw, ?import&raw lub ?import&url&inline.
- CVE-2026-39363Wysokie
Podatność w Vite (framework narzędziowy dla JavaScript) w wersjach od 6.0.0 do przed 6.4.2, 7.3.2 i 8.0.5 umożliwia atakującemu, który może połączyć się z WebSocket serwera deweloperskiego Vite bez nagłówka Origin, wywołanie fetchModule przez zdarzenie WebSocket vite:invoke i odczytanie dowolnych plików na serwerze jako ciągu JavaScript. Kontrola dostępu z żądań HTTP nie jest stosowana do tego kanału WebSocket.
- CVE-2023-34092Wysokie
Vite, narzędzie do tworzenia frontendów, ma lukę, która pozwala na obejście opcji serwera (`server.fs.deny`) przy użyciu podwójnego ukośnika (//). To umożliwia nieautoryzowanym użytkownikom odczyt plików z katalogu głównego aplikacji Vite, w tym domyślnych ustawień `fs.deny`.
Oryginalny opis (angielski, źródło NVD)
Vite is a frontend tooling framework for javascript. Vite exposes content of non-allowed files using ?inline&import or ?raw?import. Only apps explicitly exposing the Vite dev server to the network (using --host or server.host config option) are affected. This vulnerability is fixed in 6.2.4, 6.1.3, 6.0.13, 5.4.16, and 4.5.11.