اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Vite من 6.0.0 إلى 6.4.1، و7.3.2، و8.0.5
الوصف
كان برنامج Vite، وهو إطار عمل لأدوات الواجهة الأمامية بلغة JavaScript، يعاني من ثغرة أمنية تتمثل في عدم تطبيق فحص `server.fs` على طريقة `fetchModule` المتاحة عبر WebSocket لخادم التطوير الخاص بـ Vite. إذا أمكن إنشاء اتصال بـ WebSocket الخاص بخادم التطوير لـ Vite بدون رأس Origin، فيمكن للمهاجم استدعاء `fetchModule` عبر حدث WebSocket المخصص `vite:invoke` ودمج `file://...` مع `?raw` (أو `?inline`) لاسترداد محتويات ملفات عشوائية على الخادم كسلسلة JavaScript. لم يتم تطبيق ضوابط الوصول المفروضة في مسار طلب HTTP على مسار التنفيذ هذا القائم على WebSocket. وقد يؤدي ذلك إلى الكشف عن ملفات عشوائية على الخادم، بما في ذلك تلك الموجودة في جهاز التطوير أو بيئة التكامل المستمر (CI) أو الحاوية.
التوصيات
تحديث Vite إلى الإصدار 6.4.2 أو أحدث، أو 7.3.2، أو 8.0.5.