Vite · Vitejs

CVE-2025-31125

Vite has a `server.fs.deny` bypassed for `inline` and `raw` with `?import` query

Explorada em ataques Média 5,3 Chance de ataque: 66%

O que é

Vite is a frontend tooling framework for javascript. Vite exposes content of non-allowed files using ?inline&import or ?raw?import. Only apps explicitly exposing the Vite dev server to the network (using --host or server.host config option) are affected. This vulnerability is fixed in 6.2.4, 6.1.3, 6.0.13, 5.4.16, and 4.5.11.

CISA: Vite Vitejs contains an improper access control vulnerability that exposes content of non-allowed files using ?inline&import or ?raw?import. Only apps explicitly exposing the Vite dev server to the network (using --host or server.host config option) are affected.

O que fazer

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Prazo para as agências federais dos EUA: 12 de fevereiro de 2026

Adicionada à lista da CISA: 22 de janeiro de 2026
Publicada: 31 de março de 2025
Gravidade: Média 5,3 CVSS 3.1
Chance de ataques nos próximos 30 dias (EPSS): 66% entre os 0,7% mais altos de todas as vulnerabilidades conhecidas
Fraqueza: CWE-200 CWE-284
Mais detalhes: NVD · CVE.org · CISA

Todas as referências (2)

Fontes: Known Exploited Vulnerabilities (CISA, domínio público), CVE records (cve.org) e EPSS (FIRST). A chance de ataque é a estimativa EPSS de que alguém tente explorar a falha nos próximos 30 dias.