CVE-2025-30208

Durch die Verwendung einer speziellen Raw-Import-Abfragezeichenfolge auf einem Vite-Dev-Server kann ein Angreifer beliebige Dateien lesen.

Zusammenfassung der CVE

Vite-Dev-Server vor den Versionen 6.2.3, 6.1.2, 6.0.12, 5.4.15 und 4.5.10 können die Dateizugriffsprüfungen von server.fs.deny für @fs-Anfragen umgehen. Das Anhängen von ?raw?? oder ?import&raw?? an eine @fs-URL gibt den Inhalt von Dateien zurück, die normalerweise von der Zulassungsliste des Dev-Servers blockiert werden.

Nur Anwendungen, die den Vite-Dev-Server explizit für das Netzwerk freigeben, sind betroffen. "Normale" statische Produktions-Builds sind von dieser Schwachstelle nicht betroffen.

Betroffene Versionen

• Vite < 4.5.10
• Vite >= 5.0.0, < 5.4.15
• Vite >= 6.0.0, < 6.0.12
• Vite >= 6.1.0, < 6.1.2
• Vite >= 6.2.0, < 6.2.3

Referenzen

• Vite-Sicherheitshinweis - GHSA-x574-m823-4x7w
• NVD - CVSS-Score 7.5
• Github POC - ThumpBo, März 2025
• Öffentliches Docker-Labor - Vulhub
• CVE-details - CVSS-Score 7.5