Vite هو إطار عمل لأدوات الواجهة الأمامية لـ JavaScript. يمكن إرجاع محتوى ملفات عشوائية إلى المتصفح إذا كان خادم التطوير يعمل على Node أو Bun. لا تسمح مواصفات HTTP 1.1 (RFC 9112) بوجود الرمز # في request-target. على الرغم من أن المهاجم قد يرسل مثل هذا الطلب، فإن المواصفات توصي برفض الطلبات التي تحتوي على سطر طلب غير صالح برمز حالة 400 أو 301. في Node و Bun، لا يتم رفض هذه الطلبات داخليًّا ويتم تمريرها إلى مساحة المستخدم. بالنسبة لهذه الطلبات، يحتوي قيمة `http.IncomingMessage.url` على الرمز #. كان Vite يفترض أن `req.url` لن تحتوي على الرمز # عند التحقق من `server.fs.deny`، مما سمح لهذه الأنواع من الطلبات بالتحايل على عملية التحقق. لا تتأثر سوى التطبيقات التي تعرض خادم تطوير Vite صراحةً على الشبكة وتقوم بتشغيل خادم تطوير Vite في بيئات تشغيل غير Deno (على سبيل المثال، Node وBun). هناك أكثر من 130,000 خدمة قد تكون متأثرة.