Vite · Vitejs

CVE-2025-31125

Vite has a `server.fs.deny` bypassed for `inline` and `raw` with `?import` query

Saldırılarda istismar ediliyor Orta 5,3 Saldırı olasılığı: 66%

Paylaş

Nedir

Vite is a frontend tooling framework for javascript. Vite exposes content of non-allowed files using ?inline&import or ?raw?import. Only apps explicitly exposing the Vite dev server to the network (using --host or server.host config option) are affected. This vulnerability is fixed in 6.2.4, 6.1.3, 6.0.13, 5.4.16, and 4.5.11.

CISA: Vite Vitejs contains an improper access control vulnerability that exposes content of non-allowed files using ?inline&import or ?raw?import. Only apps explicitly exposing the Vite dev server to the network (using --host or server.host config option) are affected.

Ne yapmalı

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

ABD federal kurumları için son tarih: 12 Şubat 2026

CISA listesine eklenme: 22 Ocak 2026
Yayımlanma: 31 Mart 2025
Önem: Orta 5,3 CVSS 3.1
Önümüzdeki 30 günde saldırı olasılığı (EPSS): 66% bilinen tüm açıkların en üstteki 0,7% diliminde
Zayıflık: CWE-200 CWE-284
Daha fazla ayrıntı: NVD · CVE.org · CISA

Tüm kaynaklar (2)

Kaynaklar: Known Exploited Vulnerabilities (CISA, kamu malı), CVE records (cve.org) ve EPSS (FIRST). Saldırı olasılığı, birinin önümüzdeki 30 günde açığı istismar etmeye çalışacağına dair EPSS tahminidir.