Vite · Vitejs

CVE-2025-31125

Vite has a `server.fs.deny` bypassed for `inline` and `raw` with `?import` query

공격에 악용됨 보통 5.3 공격 가능성: 66%

무엇인가

Vite is a frontend tooling framework for javascript. Vite exposes content of non-allowed files using ?inline&import or ?raw?import. Only apps explicitly exposing the Vite dev server to the network (using --host or server.host config option) are affected. This vulnerability is fixed in 6.2.4, 6.1.3, 6.0.13, 5.4.16, and 4.5.11.

CISA: Vite Vitejs contains an improper access control vulnerability that exposes content of non-allowed files using ?inline&import or ?raw?import. Only apps explicitly exposing the Vite dev server to the network (using --host or server.host config option) are affected.

할 일

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

미국 연방 기관 조치 기한: 2026년 2월 12일

CISA 목록에 추가됨: 2026년 1월 22일
게시됨: 2025년 3월 31일
심각도: 보통 5.3 CVSS 3.1
향후 30일 내 공격 가능성(EPSS): 66% 알려진 모든 취약점 중 상위 0.7%
약점 유형: CWE-200 CWE-284
자세히: NVD · CVE.org · CISA

모든 참고 자료(2)

출처: Known Exploited Vulnerabilities(CISA, 퍼블릭 도메인), CVE records(cve.org), EPSS(FIRST). 공격 가능성은 누군가 향후 30일 안에 이 결함을 악용하려 할 확률에 대한 EPSS 추정치입니다.