Към съдържанието
Търсене

CVE-2026-39365: vitejs vite, обхождане на път

6.3

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, само при определена конфигурация или състояние на системата, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

Vite is a frontend tooling framework for JavaScript. From 6.0.0 to before 6.4.2, 7.3.2, and 8.0.5, the dev server’s handling of .map requests for optimized dependencies resolves file paths and calls readFile without restricting ../ segments in the URL. As a result, it is possible to bypass the server.fs.strict allow list and retrieve .map files located outside the project root, provided they can be parsed as valid source map JSON. This vulnerability is fixed in 6.4.2, 7.3.2, and 8.0.5.

Засегнати продукти

  • vitejs vite: >= 8.0.0, < 8.0.5; >= 7.0.0, < 7.3.2; >= 6.0.0, < 6.4.2
  • vitejs vite-plus: < 0.1.16

Вид слабост

История

  • 7 април 2026 Публикувано

Други уязвимости в vitejs vite

Първоизточници

CVE-2026-39365: vitejs vite, обхождане на път | freedomonline.bg