CVE-2026-112947

Vite przed wersjami 6.4.4, 7.3.7, 8.1.6, 8.2.4 i 8.3.3 może zapisać w safeModulePaths adres URL względny wobec katalogu głównego zamiast oczyszczonego identyfikatora modułu. Na dostępnym sieciowo serwerze deweloperskim (nie na Windows) zaimportowany plik projektu, którego URL odpowiada absolutnej ścieżce hosta, może autoryzować późniejsze żądanie odczytu tego pliku hosta, jeśli nie zablokuje go server.fs.deny.

W Vite od wersji 6.4.4 do 6.4.5 serwer deweloperski może ocenić server.fs.deny przed usunięciem parametrów zapytania loadera, takich jak ?raw, ?import&raw lub ?import&url&inline. Gdy serwer deweloperski jest wystawiony na sieć, a wrażliwy plik znajduje się w server.fs.allow, ale jest dopasowany przez server.fs.deny, nieuwierzytelniony atakujący może dołączyć jedno z tych zapytań i pobrać zabroniony plik.

W Vite przed wersjami 6.4.4, 7.3.7, 8.1.6, 8.2.4 i 8.3.3 aplikacje używające niestandardowego middleware są podatne, gdy przekazują niezmieniony URL żądania przeglądarki do server.transformIndexHtml. getHtmlFilename używa URL żądania z zapytaniem do rozwiązania istniejącego pliku lokalnego, zachowując wiodące ukośniki dostarczone przez atakującego w wygenerowanym URL modułu proxy. Jeśli przekształcony HTML zawiera wbudowany skrypt modułu, a przeglądarka ofiary ładuje spreparowaną stronę serwera deweloperskiego, wiodący podwójny ukośnik powoduje pobranie i wykonanie modułu kontrolowanego przez atakującego.

Vite to framework narzędziowy dla JavaScript, który przed wersjami 8.0.16, 7.3.5 i 6.4.3 mógł zwracać zawartość plików określonych przez server.fs.deny do przeglądarki na systemie Windows. Problemy z normalizacją ścieżek NTFS ADS pozwalały na nieautoryzowany dostęp do wrażliwych plików.

Vite, framework narzędziowy frontendu dla JavaScript, w wersjach od 6.0.0 do przed 6.4.2, 7.3.2 i 8.0.5, ma podatność w obsłudze żądań .map dla zoptymalizowanych zależności. Serwer deweloperski rozpoznaje ścieżki plików i wywołuje readFile bez ograniczania segmentów ../ w URL, co pozwala ominąć listę dozwolonych server.fs.strict i odczytać pliki .map poza katalogiem projektu, jeśli mogą być sparsowane jako poprawny JSON mapy źródłowej.

Vite (framework frontendowy dla JavaScript) w wersjach od 7.1.0 do przed 7.3.2 oraz 8.0.5 pozwala na ominięcie ograniczeń server.fs.deny. Pliki takie jak .env czy *.crt mogą być pobrane z kodem odpowiedzi HTTP 200 po dodaniu parametrów zapytania ?raw, ?import&raw lub ?import&url&inline.

Podatność w Vite (framework narzędziowy dla JavaScript) w wersjach od 6.0.0 do przed 6.4.2, 7.3.2 i 8.0.5 umożliwia atakującemu, który może połączyć się z WebSocket serwera deweloperskiego Vite bez nagłówka Origin, wywołanie fetchModule przez zdarzenie WebSocket vite:invoke i odczytanie dowolnych plików na serwerze jako ciągu JavaScript. Kontrola dostępu z żądań HTTP nie jest stosowana do tego kanału WebSocket.

Vite to framework narzędziowy frontendowy dla JavaScriptu. W wersjach od 2.9.18 do przed 3.0.0, od 3.2.9 do przed 4.0.0, od 4.5.3 do przed 5.0.0, od 5.2.6 do przed 5.4.21, od 6.0.0 do przed 6.4.1, od 7.0.0 do przed 7.0.8 oraz od 7.1.0 do przed 7.1.11 pliki zabronione przez server.fs.deny były wysyłane, jeśli URL kończył się znakiem \, gdy serwer deweloperski działał w systemie Windows. Problem dotyczył tylko aplikacji, które jawnie wystawiały serwer deweloperski Vite do sieci i działały w systemie Windows.

Vite przed wersjami 7.1.5, 7.0.7, 6.3.6 i 5.4.20 serwuje dowolne pliki HTML na maszynie, niezależnie od ustawień server.fs. Dotyczy to aplikacji wystawiających serwer deweloperski na sieć (--host lub server.host) i używających appType 'spa' lub 'mpa'. Podatny jest również serwer podglądu.