Vite: Se podrían servir archivos fuera de `server.fs.allow` cuando las rutas del proyecto coinciden con rutas del sistema en sistemas no Windows

Resumen

El contenido de archivos fuera de la configuración server.fs puede devolverse al navegador si el proyecto importa una ruta de archivo concatenada con root. Por ejemplo, si el proyecto hace referencia a <path-to-project-root>/etc/hosts, era posible que se devolviera el contenido de /etc/hosts.

El contenido de archivos fuera de la opción server.fs.allow puede devolverse al navegador cuando un proyecto importa un archivo cuya ruta relativa a la raíz coincide con una ruta absoluta en el host. Por ejemplo, hacer referencia a <project-root>/etc/hosts podría hacer que Vite devuelva el archivo /etc/hosts del host.

Impacto

Solo se ven afectadas las aplicaciones que cumplen todas las condiciones siguientes:

• Exponen explícitamente el servidor de desarrollo de Vite a la red (usando --host o la opción server.host))).
• Contienen un archivo importado cuya URL de navegador relativa a la raíz es también la ruta absoluta de un archivo legible en el host.
• El archivo confidencial no coincide con server.fs.deny).
• El servidor de desarrollo no se ejecuta en Windows.

Detalles

Cuando Vite analiza una importación dentro de la raíz, reescribe el ID del módulo resuelto a una URL de navegador como /etc/hostname. En las versiones afectadas, Vite convierte esa URL con fsPathFromUrl y agrega el resultado a safeModulePaths. Debido a que fsPathFromUrl garantiza una barra diagonal inicial sin resolver la URL contra la raíz del proyecto, la URL del proyecto /etc/hostname se registra como si fuera la ruta absoluta del sistema de archivos /etc/hostname.

Para una solicitud posterior a /@fs/etc/hostname, el middleware de acceso directo al sistema de archivos interpreta /etc/hostname como una ruta absoluta. La comprobación de acceso aplica server.fs.deny y luego acepta rutas presentes en safeModulePaths antes de verificar server.fs.allow. En consecuencia, la solicitud puede devolver el archivo del host en lugar del archivo del proyecto que originalmente pobló safeModulePaths.

PoC

El siguiente ejemplo requiere Linux con un archivo /etc/hostname legible:

$ mkdir vite-safe-module-path-poc
$ cd vite-safe-module-path-poc
$ npm init -y
$ npm install vite@8.3.1
$ mkdir -p etc
$ echo 'PROJECT-DECOY\n' > etc/hostname
$ echo 'import "./etc/hostname"\n' > main.js
$ npx vite --host 127.0.0.1

En otra terminal:

$ curl -o /dev/null -s -w '%{http_code}\n' http://127.0.0.1:5173/main.js
200
$ curl -sS -o response -w '%{http_code}\n' http://127.0.0.1:5173/@fs/etc/hostname
200
$ cmp -s response /etc/hostname && echo 'response matches host file'
response matches host file