CVE-2025-24010

إصدارات Vite الأقدم من 6.0.9

إصدارات Vite الأقدم من 5.4.12

إصدارات Vite الأقدم من 4.5.6

كان Vite يسمح لأي مواقع إرسال أي طلبات إلى خادم التطوير وقراءة الرد بسبب الإعدادات الافتراضية لـ CORS وعدم التحقق من صحة رأس Origin للاتصالات عبر WebSocket. تنتج هذه المشكلة عن ثلاثة عوامل: إعدادات CORS الافتراضية المتساهلة، وعدم التحقق من صحة رأس Origin لاتصالات WebSocket، وعدم التحقق من صحة رأس Host لطلبات HTTP. يمكن للمهاجمين استغلال هذه الثغرات لسرقة شفرة المصدر، والوصول إلى وظائف لا ينبغي كشفها خارجيًا، واستغلال الوظائف التي يتم تشغيلها عبر رسائل WebSocket.

بالنسبة للإصدارات الأقدم من 6.0.9، قم بالتحديث إلى الإصدار 6.0.9 أو أحدث.

بالنسبة للإصدارات الأقدم من 5.4.12، قم بالتحديث إلى الإصدار 5.4.12 أو أحدث.

بالنسبة للإصدارات الأقدم من 4.5.6، قم بالتحديث إلى الإصدار 4.5.6 أو أحدث.

كحل مؤقت، ضع في اعتبارك تعيين server.cors على false أو تقييد server.cors.origin على المصادر الموثوقة.

بالنسبة للمستخدمين الذين يستخدمون ميزة تكامل الخلفية (backend)، أضف مصدر خادم الخلفية إلى الخيار server.cors.origin.

بالنسبة للمستخدمين الذين يستخدمون وكيلًا عكسيًّا أمام Vite، أضف اسم المضيف إلى الخيار الجديد server.allowedHosts.

بالنسبة للمستخدمين الذين يصلون إلى خادم التطوير