PT-2025-15989
CVE-2025-32395
·
تاريخ النشر
2025-04-10
·
تاريخ التحديث
2025-06-09
الوصف من
CVSS 4.0
6.0
متوسطةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات Vite الأقدم من 6.2.6
إصدارات Vite الأقدم من 6.1.5
إصدارات Vite الأقدم من 6.0.15
إصدارات Vite الأقدم من 5.4.18
إصدارات Vite الأقدم من 4.5.13
الوصف
Vite هو إطار عمل لأدوات الواجهة الأمامية لـ JavaScript. يمكن إرجاع محتوى ملفات عشوائية إلى المتصفح إذا كان خادم التطوير يعمل على Node أو Bun. لا تسمح مواصفات HTTP 1.1 (RFC 9112) بوجود الرمز # في request-target. على الرغم من أن المهاجم قد يرسل مثل هذا الطلب، فإن المواصفات توصي برفض الطلبات التي تحتوي على سطر طلب غير صالح برمز حالة 400 أو 301. في Node و Bun، لا يتم رفض هذه الطلبات داخليًّا ويتم تمريرها إلى مساحة المستخدم. بالنسبة لهذه الطلبات، يحتوي قيمة
http.IncomingMessage.url على الرمز #. كان Vite يفترض أن req.url لن تحتوي على الرمز # عند التحقق من server.fs.deny، مما سمح لهذه الأنواع من الطلبات بالتحايل على عملية التحقق. لا تتأثر سوى التطبيقات التي تعرض خادم تطوير Vite صراحةً على الشبكة وتقوم بتشغيل خادم تطوير Vite في بيئات تشغيل غير Deno (على سبيل المثال، Node وBun). هناك أكثر من 130,000 خدمة قد تكون متأثرة.التوصيات
لحل المشكلة في الإصدارات الأقدم من 6.2.6، قم بالتحديث إلى الإصدار 6.2.6 أو أحدث.
لحل المشكلة في الإصدارات الأقدم من 6.1.5، قم بالتحديث إلى الإصدار 6.1.5 أو أحدث.
لحل
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾