CVE-2025-31486
Vite consente di aggirare server.fs.deny con percorsi .svg o relativi
- Pubblicato
- 3 apr 2025
- Aggiornato
- 3 apr 2025
- Assegnazione CNA
- GitHub_M
- Evidenza osservata
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:NModerato · prossimi 30 giorni
- Percentile
- 98,6%
- Data del modello
- 15 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Vite è un framework di tooling frontend per JavaScript. I contenuti di file arbitrari possono essere restituiti al browser. Aggiungendo `?.svg` con `?.wasm?init` o con l'header `sec-fetch-dest: script`, è stato possibile aggirare la restrizione `server.fs.deny`. Questo bypass è possibile solo se il file è più piccolo di `build.assetsInlineLimit` (default: 4kB) e quando si utilizza Vite 6.0+. Sono interessate solo le app che espongono esplicitamente il server di sviluppo Vite alla rete (usando `--host` o l'opzione di configurazione `server.host`). Questa vulnerabilità è corretta nelle versioni 4.5.12, 5.4.17, 6.0.14, 6.1.4 e 6.2.5.
Fonti
http/cves/2025/CVE-2025-31486.yaml
Nuclei TemplatesCondizioni dichiarate
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
Ambiente di laboratorio containerizzato per simulare e sfruttare CVE-2025-31486, una vulnerabilità di path traversal nel server di sviluppo di Vite, con istruzioni passo-passo per una formazione pratica sulla sicurezza.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.