PT-2025-42804
CVE-2025-62522
·
تاريخ النشر
2025-10-20
·
تاريخ التحديث
2026-07-02
الوصف من
CVSS 2.0
7.8
عاليةالمقاييسAV:N/AC:L/Au:N/C:C/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Vite من 2.9.18 إلى 3.0.0
إصدارات Vite من 3.2.9 إلى 4.0.0
إصدارات Vite من 4.5.3 إلى 5.0.0
إصدارات Vite من 5.2.6 إلى 5.4.21
إصدارات Vite من 6.0.0 إلى 6.4.1
إصدارات Vite من 7.0.0 إلى 7.0.8
إصدارات Vite من 7.1.0 إلى 7.1.11
الوصف
Vite هو إطار عمل لأدوات الواجهة الأمامية لـ JavaScript. توجد ثغرة أمنية تسمح بالوصول إلى الملفات المقيدة بواسطة
server.fs.deny إذا كان عنوان URL ينتهي بشرطة مائلة عكسية (``) عند تشغيل خادم التطوير على نظام Windows. تؤثر هذه المشكلة فقط على التطبيقات التي تعرض خادم تطوير Vite بشكل صريح على الشبكة وتقوم بتشغيل الخادم على نظام Windows. يرتبط السبب الجذري بكيفية معالجة fs.readFile() لمسارات الملفات. يمكن استغلال هذه الثغرة الأمنية عن طريق إنشاء عنوان URL ينتهي بشرطة مائلة عكسية لتجاوز قيود الوصول إلى الملفات المحددة في server.fs.deny. يوضح نموذج إثبات المفهوم إمكانية الوصول إلى ملف .env يحتوي على معلومات حساسة باستخدام طلب curl مع عنوان URL مصمم خصيصًا لهذا الغرض.التوصيات
قم بالتحديث إلى إصدار Vite 5.4.21 أو أحدث.
قم بالتحديث إلى الإصدار 6.4.1 أو أحدث من Vite.
قم بالتحديث إلى الإصدار 7.0.8 أو أحدث من Vite.
قم بالتحديث إلى الإصدار 7.1.11 أو أحدث من Vite.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾