Vite: Pierwsze 4 bajtów plików spoza ustawienia `server.fs` jest ujawniane przez `?vite-wasm-instance`
Podsumowanie
Pierwsze 4 bajtów plików znajdujących się poza ustawieniem server.fs może zostać zwrócone do przeglądarki za pośrednictwem żądania zawierającego ?vite-wasm-instance.
Wpływ
Problem dotyczy wyłącznie aplikacji spełniających następujące warunki:
- Serwer deweloperski Vite jest bezpośrednio wystawiony na sieć za pomocą
--hostlub opcjiserver.host. - Istnieje plik zawierający poufne informacje w swoich pierwszych 4 bajtach.
- Do uruchomienia Vite używane jest środowisko Node.js lub Deno (użycie Bun nie jest podatne).
Szczegóły
Żądania zawierające parametr ?vite-wasm-instance są obsługiwane przez hook load wewnętrznej wtyczki Wasm. Hook ten usuwa parametr i odczytuje wynikową ścieżkę bezpośrednio z dysku, jednak mechanizmy sprawdzania server.fs nie były stosowane.
Po odczytaniu pliku Vite próbuje przetworzyć go jako WebAssembly. W przypadku niepowodzenia parsowania Node.js oraz Deno zgłaszają błąd zawierający pierwsze 4 bajtów tego pliku.
PoC
Utwórz zablokowany plik i uruchom podatny serwer deweloperski Vite:
echo 'SECRET_KEY=abc123\n' > .env
npm run dev
curl 'http://localhost:5173/.env?vite-wasm-instance'Spowoduje to wyświetlenie:
Failed to parse WASM file "<root>/.env": WebAssembly.compile(): expected magic word 00 61 73 6d, found 53 45 43 52 @+0Co trzeba zrobić
Zaktualizuj pakiet Vite do wersji 8.2.4, 8.3.3 lub nowszej, a pakiet vite-plus do wersji 1.1.0 lub nowszej.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | vite | >= 8.3.0, < 8.3.3, >= 8.2.0, < 8.2.4 | 8.3.3, 8.2.4 |
| Paczka npm | vite-plus | >= 0.2.8, < 1.1.0 | 1.1.0 |
Odnośniki
- https://github.com/vitejs/vite/security/advisories/GHSA-vfpm-58rq-9qcg
- https://nvd.nist.gov/vuln/detail/CVE-2026-112947
- https://github.com/vitejs/vite/pull/23655
- https://github.com/vitejs/vite/commit/b6c6d2fb3f853aab4092dc25f0d6816a96c23dff
- https://github.com/vitejs/vite/commit/ba8b7ab43b4afa5d0292ab4b6e3a7b5033cc9c73
- https://github.com/vitejs/vite
- Wektor CVSS
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N- Słabość (CWE)
CWE-200, CWE-209, CWE-22- Platforma
- npm
- Paczka
vite, vite-plus- Ujawniono
- 21.10.2026
- Aktualizacja
- 21.10.2026 19:19
Źródła i licencje · Redakcja lub tłumaczenie: DockRay. Zachowano prawa źródeł i obowiązujące licencje.
OSV / GitHub Advisory Database - GHSA-vfpm-58rq-9qcg - CC BY 4.0
Historia podatności: vite
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 27
- Pierwsza → ostatnia
- 08.2022 10.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 1
Rozkład istotności
- Wysoka 8
- Średnia 16
- Niska 3
Ujawnienia w latach
- 2022: 1
- 2023: 2
- 2024: 4
- 2025: 9
- 2026: 11
-
Vite: Pierwsze 4 bajtów plików spoza ustawienia `server.fs` jest ujawniane przez `?vite-wasm-instance` ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.