CVE-2026-39363

اسم البرنامج المعرض للخطر والإصدارات المتأثرة

إصدارات Vite من 6.0.0 إلى 6.4.1، و7.3.2، و8.0.5

الوصف

كان برنامج Vite، وهو إطار عمل لأدوات الواجهة الأمامية بلغة JavaScript، يعاني من ثغرة أمنية تتمثل في عدم تطبيق فحص server.fs على طريقة fetchModule المتاحة عبر WebSocket لخادم التطوير الخاص بـ Vite. إذا أمكن إنشاء اتصال بـ WebSocket الخاص بخادم التطوير لـ Vite بدون رأس Origin، فيمكن للمهاجم استدعاء fetchModule عبر حدث WebSocket المخصص vite:invoke ودمج file://... مع ?raw (أو ?inline) لاسترداد محتويات ملفات عشوائية على الخادم كسلسلة JavaScript. لم يتم تطبيق ضوابط الوصول المفروضة في مسار طلب HTTP على مسار التنفيذ هذا القائم على WebSocket. وقد يؤدي ذلك إلى الكشف عن ملفات عشوائية على الخادم، بما في ذلك تلك الموجودة في جهاز التطوير أو بيئة التكامل المستمر (CI) أو الحاوية.

التوصيات

تحديث Vite إلى الإصدار 6.4.2 أو أحدث، أو 7.3.2، أو 8.0.5.