CVE-2025-31486

Zusammenfassung

Vite ist ein Frontend-Tooling-Framework für JavaScript. Der Inhalt beliebiger Dateien kann an den Browser zurückgegeben werden. Durch das Hinzufügen von `?.svg` mit `?.wasm?init` oder mit dem `sec-fetch-dest: script`-Header konnte die `server.fs.deny`-Beschränkung umgangen werden. Dieser Bypass ist nur möglich, wenn die Datei kleiner als `build.assetsInlineLimit` (Standard: 4 kB) ist und bei Verwendung von Vite 6.0+. Nur Apps, die den Vite-Dev-Server explizit für das Netzwerk freigeben (mithilfe von `--host` oder der `server.host`-Konfigurationsoption), sind betroffen. Diese Schwachstelle ist in 4.5.12, 5.4.17, 6.0.14, 6.1.4 und 6.2.5 behoben.

• CVE-2025-31486-SimulationPoC

  Containerisierte Laborumgebung zur Simulation und Ausnutzung von CVE-2025-31486, einer Path-Traversal-Schwachstelle im Entwicklungsserver von Vite, mit Schritt-für-Schritt-Anleitungen für praktisches Sicherheitstraining.

• CVE-2025-30208-31125-31486-32395Exploit

  Exploitationsanleitung und automatisiertes Erkennungsskript für vier Schwachstellen zum beliebigen Dateilesen im Vite-Entwicklungsserver (CVE-2025-30208/31125/31486/32395) mit Beispielen für Linux und Windows.

• CVE-2025-30208-SeriesPoC

  Analyse der Reproduktion der Schwachstellen der CVE-2025-30208-Serie

• CVE-2025-31486-PoCPoC

  Vite-Skript zur Batch-Erkennung der Arbitrary-File-Read-Schwachstelle (CVE-2025-31486)

• ViteVulScanExploit

  Exploit für CVE-2025-30208 und CVE-2025-31125

• CVE-2025-31486PoC

  Proof-of-Concept-Exploit für CVE-2025-31486, der die Reproduktion der Schwachstelle mit einem Python-basierten PoC-Skript und detaillierten Einrichtungsanweisungen demonstriert.