CVE-2025-58752
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
Vite przed wersjami 7.1.5, 7.0.7, 6.3.6 i 5.4.20 serwuje dowolne pliki HTML na maszynie, niezależnie od ustawień server.fs. Dotyczy to aplikacji wystawiających serwer deweloperski na sieć (--host lub server.host) i używających appType 'spa' lub 'mpa'. Podatny jest również serwer podglądu.
Ocena ryzyka
Atakujący może uzyskać dostęp do plików HTML spoza katalogu wyjściowego, co może prowadzić do ujawnienia wrażliwych informacji lub dalszych ataków.
Rekomendacja
Zaktualizuj Vite do wersji 7.1.5, 7.0.7, 6.3.6 lub 5.4.20 (lub nowszej). Jeśli nie możesz zaktualizować, nie wystawiaj serwera deweloperskiego na sieć.
Inne podatności w Vite
Zobacz wszystkie- CVE-2025-31125ŚrednieAktywnie exploitowane
Vite to framework narzędziowy frontendowy dla JavaScript. Vite ujawnia zawartość niedozwolonych plików przy użyciu ?inline&import lub ?raw?import. Podatność dotyczy tylko aplikacji, które jawnie wystawiają serwer deweloperski Vite do sieci (za pomocą opcji --host lub server.host). Podatność naprawiono w wersjach 6.2.4, 6.1.3, 6.0.13, 5.4.16 i 4.5.11.
- CVE-2026-53571Wysokie
Vite to framework narzędziowy dla JavaScript, który przed wersjami 8.0.16, 7.3.5 i 6.4.3 mógł zwracać zawartość plików określonych przez server.fs.deny do przeglądarki na systemie Windows. Problemy z normalizacją ścieżek NTFS ADS pozwalały na nieautoryzowany dostęp do wrażliwych plików.
- CVE-2026-39365Średnie
Vite, framework narzędziowy frontendu dla JavaScript, w wersjach od 6.0.0 do przed 6.4.2, 7.3.2 i 8.0.5, ma podatność w obsłudze żądań .map dla zoptymalizowanych zależności. Serwer deweloperski rozpoznaje ścieżki plików i wywołuje readFile bez ograniczania segmentów ../ w URL, co pozwala ominąć listę dozwolonych server.fs.strict i odczytać pliki .map poza katalogiem projektu, jeśli mogą być sparsowane jako poprawny JSON mapy źródłowej.
- CVE-2026-39364Wysokie
Vite (framework frontendowy dla JavaScript) w wersjach od 7.1.0 do przed 7.3.2 oraz 8.0.5 pozwala na ominięcie ograniczeń server.fs.deny. Pliki takie jak .env czy *.crt mogą być pobrane z kodem odpowiedzi HTTP 200 po dodaniu parametrów zapytania ?raw, ?import&raw lub ?import&url&inline.
- CVE-2026-39363Wysokie
Podatność w Vite (framework narzędziowy dla JavaScript) w wersjach od 6.0.0 do przed 6.4.2, 7.3.2 i 8.0.5 umożliwia atakującemu, który może połączyć się z WebSocket serwera deweloperskiego Vite bez nagłówka Origin, wywołanie fetchModule przez zdarzenie WebSocket vite:invoke i odczytanie dowolnych plików na serwerze jako ciągu JavaScript. Kontrola dostępu z żądań HTTP nie jest stosowana do tego kanału WebSocket.
- CVE-2023-34092Wysokie
Vite, narzędzie do tworzenia frontendów, ma lukę, która pozwala na obejście opcji serwera (`server.fs.deny`) przy użyciu podwójnego ukośnika (//). To umożliwia nieautoryzowanym użytkownikom odczyt plików z katalogu głównego aplikacji Vite, w tym domyślnych ustawień `fs.deny`.
Oryginalny opis (angielski, źródło NVD)
Vite is a frontend tooling framework for JavaScript. Prior to versions 7.1.5, 7.0.7, 6.3.6, and 5.4.20, any HTML files on the machine were served regardless of the `server.fs` settings. Only apps that explicitly expose the Vite dev server to the network (using --host or server.host config option) and use `appType: 'spa'` (default) or `appType: 'mpa'` are affected. This vulnerability also affects the preview server. The preview server allowed HTML files not under the output directory to be served. Versions 7.1.5, 7.0.7, 6.3.6, and 5.4.20 fix the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS