CVE-2025-32395
Vite tiene una omisión de server.fs.deny con un request-target no válido
- Publicado
- 10 abr 2025
- Actualizado
- 10 abr 2025
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBajo · próximos 30 días
- Percentil
- 76,5 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Vite es un framework frontend para javascript. Antes de 6.2.6, 6.1.5, 6.0.15, 5.4.18 y 4.5.13, el contenido de archivos arbitrarios se puede devolver al navegador si el servidor de desarrollo se ejecuta en Node o Bun. La especificación HTTP 1.1 (RFC 9112) no permite # en el destino de la solicitud. Aunque un atacante puede enviar dicha solicitud. Para aquellas solicitudes con una línea de solicitud no válida (incluye el objetivo de la solicitud), la especificación recomienda rechazarlas con 400 o 301. Lo mismo puede decirse de HTTP 2. En Node y Bun, esas solicitudes no se rechazan internamente y se pasan al área del usuario. Para esas solicitudes, el valor de http.IncomingMessage.url contiene #. Vite asumió que req.url no contendrá # al verificar server.fs.deny, permitiendo que ese tipo de solicitudes eviten la verificación. Solo se ven afectadas las aplicaciones que exponen explícitamente el servidor de desarrollo de Vite a la red (utilizando la opción de configuración --host o server.host) y que ejecutan el servidor de desarrollo de Vite en entornos de ejecución que no son Deno (por ejemplo, Node, Bun). Esta vulnerabilidad se corrigió en 6.2.6, 6.1.5, 6.0.15, 5.4.18 y 4.5.13.
Fuentes
2Guía de explotación y script de detección automatizada para cuatro vulnerabilidades de lectura arbitraria de archivos en el servidor de desarrollo Vite (CVE-2025-30208/31125/31486/32395) con ejemplos para Linux y Windows.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.