CVE-2026-39363
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 88 - wyżej niż 88% wszystkich znanych CVE
Streszczenie
Podatność w Vite (framework narzędziowy dla JavaScript) w wersjach od 6.0.0 do przed 6.4.2, 7.3.2 i 8.0.5 umożliwia atakującemu, który może połączyć się z WebSocket serwera deweloperskiego Vite bez nagłówka Origin, wywołanie fetchModule przez zdarzenie WebSocket vite:invoke i odczytanie dowolnych plików na serwerze jako ciągu JavaScript. Kontrola dostępu z żądań HTTP nie jest stosowana do tego kanału WebSocket.
Ocena ryzyka
Atakujący może odczytać dowolne pliki na serwerze deweloperskim, w tym pliki konfiguracyjne i źródłowe, co może prowadzić do wycieku poufnych danych.
Rekomendacja
Zaleca się aktualizację Vite do wersji 6.4.2, 7.3.2 lub 8.0.5 (w zależności od używanej głównej wersji).
Inne podatności w Vite
Zobacz wszystkie- CVE-2025-31125ŚrednieAktywnie exploitowane
Vite to framework narzędziowy frontendowy dla JavaScript. Vite ujawnia zawartość niedozwolonych plików przy użyciu ?inline&import lub ?raw?import. Podatność dotyczy tylko aplikacji, które jawnie wystawiają serwer deweloperski Vite do sieci (za pomocą opcji --host lub server.host). Podatność naprawiono w wersjach 6.2.4, 6.1.3, 6.0.13, 5.4.16 i 4.5.11.
- CVE-2026-53571Wysokie
Vite to framework narzędziowy dla JavaScript, który przed wersjami 8.0.16, 7.3.5 i 6.4.3 mógł zwracać zawartość plików określonych przez server.fs.deny do przeglądarki na systemie Windows. Problemy z normalizacją ścieżek NTFS ADS pozwalały na nieautoryzowany dostęp do wrażliwych plików.
- CVE-2026-39365Średnie
Vite, framework narzędziowy frontendu dla JavaScript, w wersjach od 6.0.0 do przed 6.4.2, 7.3.2 i 8.0.5, ma podatność w obsłudze żądań .map dla zoptymalizowanych zależności. Serwer deweloperski rozpoznaje ścieżki plików i wywołuje readFile bez ograniczania segmentów ../ w URL, co pozwala ominąć listę dozwolonych server.fs.strict i odczytać pliki .map poza katalogiem projektu, jeśli mogą być sparsowane jako poprawny JSON mapy źródłowej.
- CVE-2026-39364Wysokie
Vite (framework frontendowy dla JavaScript) w wersjach od 7.1.0 do przed 7.3.2 oraz 8.0.5 pozwala na ominięcie ograniczeń server.fs.deny. Pliki takie jak .env czy *.crt mogą być pobrane z kodem odpowiedzi HTTP 200 po dodaniu parametrów zapytania ?raw, ?import&raw lub ?import&url&inline.
- CVE-2025-62522Średnie
Vite to framework narzędziowy frontendowy dla JavaScriptu. W wersjach od 2.9.18 do przed 3.0.0, od 3.2.9 do przed 4.0.0, od 4.5.3 do przed 5.0.0, od 5.2.6 do przed 5.4.21, od 6.0.0 do przed 6.4.1, od 7.0.0 do przed 7.0.8 oraz od 7.1.0 do przed 7.1.11 pliki zabronione przez server.fs.deny były wysyłane, jeśli URL kończył się znakiem \, gdy serwer deweloperski działał w systemie Windows. Problem dotyczył tylko aplikacji, które jawnie wystawiały serwer deweloperski Vite do sieci i działały w systemie Windows.
- CVE-2025-58752Średnie
Vite przed wersjami 7.1.5, 7.0.7, 6.3.6 i 5.4.20 serwuje dowolne pliki HTML na maszynie, niezależnie od ustawień server.fs. Dotyczy to aplikacji wystawiających serwer deweloperski na sieć (--host lub server.host) i używających appType 'spa' lub 'mpa'. Podatny jest również serwer podglądu.
- CVE-2023-34092Wysokie
Vite, narzędzie do tworzenia frontendów, ma lukę, która pozwala na obejście opcji serwera (`server.fs.deny`) przy użyciu podwójnego ukośnika (//). To umożliwia nieautoryzowanym użytkownikom odczyt plików z katalogu głównego aplikacji Vite, w tym domyślnych ustawień `fs.deny`.
Oryginalny opis (angielski, źródło NVD)
Vite is a frontend tooling framework for JavaScript. From 6.0.0 to before 6.4.2, 7.3.2, and 8.0.5, if it is possible to connect to the Vite dev server’s WebSocket without an Origin header, an attacker can invoke fetchModule via the custom WebSocket event vite:invoke and combine file://... with ?raw (or ?inline) to retrieve the contents of arbitrary files on the server as a JavaScript string (e.g., export default "..."). The access control enforced in the HTTP request path (such as server.fs.allow) is not applied to this WebSocket-based execution path. This vulnerability is fixed in 6.4.2, 7.3.2, and 8.0.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS