CVE-2025-32395

सारांश

Vite जावास्क्रिप्ट के लिए एक फ्रंटएंड टूलिंग फ्रेमवर्क है। 6.2.6, 6.1.5, 6.0.15, 5.4.18 और 4.5.13 से पहले के संस्करणों में, यदि डेव सर्वर Node या Bun पर चल रहा है, तो मनमानी फाइलों की सामग्री ब्राउज़र को लौटाई जा सकती है। HTTP 1.1 स्पेक (RFC 9112) request-target में # की अनुमति नहीं देता है। हालाँकि एक हमलावर ऐसा अनुरोध भेज सकता है। अमान्य request-line (जिसमें request-target शामिल है) वाले उन अनुरोधों के लिए, स्पेक उन्हें 400 या 301 के साथ अस्वीकार करने की अनुशंसा करता है। यही बात HTTP 2 के लिए भी कही जा सकती है। Node और Bun पर, उन अनुरोधों को आंतरिक रूप से अस्वीकार नहीं किया जाता है और उपयोगकर्ता स्तर पर पास कर दिया जाता है। उन अनुरोधों के लिए, http.IncomingMessage.url का मान # रखता है। Vite ने server.fs.deny की जाँच करते समय मान लिया कि req.url में # नहीं होगा, जिससे इस तरह के अनुरोध जाँच को बायपास कर सकते हैं। केवल वे ऐप्स प्रभावित हैं जो स्पष्ट रूप से Vite डेव सर्वर को नेटवर्क पर उजागर करते हैं (--host या server.host कॉन्फ़िगरेशन विकल्प का उपयोग करके) और Vite डेव सर्वर को उन रनटाइम्स पर चलाते हैं जो Deno नहीं हैं (जैसे Node, Bun)। यह भेद्यता 6.2.6, 6.1.5, 6.0.15, 5.4.18 और 4.5.13 में ठीक कर दी गई है।

स्रोत