Vite: Erste 4 Bytes von Dateien außerhalb der Einstellung `server.fs` werden durch `?vite-wasm-instance` offengelegt
Zusammenfassung
Die ersten 4 Bytes von Dateien außerhalb der Einstellung server.fs können durch eine Anfrage, die ?vite-wasm-instance enthält, an den Browser zurückgegeben werden.
Auswirkungen
Nur Anwendungen, auf die die folgenden Bedingungen zutreffen, sind betroffen:
- Der Vite-Entwicklungsserver wird über
--hostoder die Optionserver.hostexplizit für das Netzwerk freigegeben. - Es existiert eine Datei, die sensible Informationen in den ersten 4 Bytes enthält.
- Vite wird mit Node.js oder Deno ausgeführt (Installationen unter Bun sind nicht betroffen).
Details
Anfragen, die den Abfrageparameter ?vite-wasm-instance enthalten, werden vom Hook load des internen Wasm-Plugins verarbeitet. Der Hook entfernt die Abfrage und liest den resultierenden Pfad direkt vom Datenträger, ohne dass die Überprüfungen von server.fs angewendet wurden.
Nach dem Einlesen der Datei versucht Vite, diese als WebAssembly zu parsen. Schlägt dieser Vorgang fehl, lösen Node.js und Deno einen Fehler aus, der die ersten 4 Bytes der Datei enthält.
PoC
Erstellen Sie eine verweigerte Datei und starten Sie einen betroffenen Vite-Entwicklungsserver:
echo 'SECRET_KEY=abc123\n' > .env
npm run dev
curl 'http://localhost:5173/.env?vite-wasm-instance'Dies führt zu folgender Ausgabe:
Failed to parse WASM file "<root>/.env": WebAssembly.compile(): expected magic word 00 61 73 6d, found 53 45 43 52 @+0Was zu tun ist
Aktualisieren Sie Vite auf Version 8.2.4, 8.3.3 oder neuer und vite-plus auf Version 1.1.0 oder neuer.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
Verweise
- https://github.com/vitejs/vite/security/advisories/GHSA-vfpm-58rq-9qcg
- https://nvd.nist.gov/vuln/detail/CVE-2026-112947
- https://github.com/vitejs/vite/pull/23655
- https://github.com/vitejs/vite/commit/b6c6d2fb3f853aab4092dc25f0d6816a96c23dff
- https://github.com/vitejs/vite/commit/ba8b7ab43b4afa5d0292ab4b6e3a7b5033cc9c73
- https://github.com/vitejs/vite
- CVSS-Vektor
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N- Schwäche (CWE)
CWE-200, CWE-209, CWE-22- Plattform
- npm
- Paket
vite, vite-plus- Veröffentlicht
- 21.10.2026
- Aktualisiert
- 21.10.2026 19:19
Quellen und Lizenzen · Von DockRay bearbeitet oder übersetzt; Rechte und Lizenzen der Quellen bleiben erhalten.
OSV / GitHub Advisory Database - GHSA-vfpm-58rq-9qcg - CC BY 4.0
Schwachstellenhistorie: vite
Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 27
- Erste → letzte
- 08.2022 10.2026
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 1
Verteilung nach Schweregrad
- Hoch 8
- Mittel 16
- Niedrig 3
Veröffentlichungen pro Jahr
- 2022: 1
- 2023: 2
- 2024: 4
- 2025: 9
- 2026: 11
-
Vite: Erste 4 Bytes von Dateien außerhalb der Einstellung `server.fs` werden durch `?vite-wasm-instance` offengelegt dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.