CVE-2025-30208
Viteは?raw??使用時にserver.fs.denyをバイパスする
- 公開済み
- 2025/03/24
- 更新済み
- 2025/03/24
- CNA の割り当て
- GitHub_M
- 観察された証拠
- 2025/04/03
プライマリ CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N高 · 今後 30 日間
- パーセンタイル
- 99.5%
- モデルの日付
- 2026/10/17
EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。
概要
フロントエンド開発ツールを提供するViteには、6.2.3、6.1.2、6.0.12、5.4.15、4.5.10より前のバージョンに脆弱性があります。`@fs` は、Viteの配信許可リストの外部にあるファイルへのアクセスを拒否します。URLに `?raw??` または `?import&raw??` を追加すると、この制限が回避され、ファイルが存在する場合にそのファイルの内容が返されます。このバイパスが存在するのは、`?` のような末尾のセパレータが複数の場所で削除されるものの、クエリ文字列の正規表現では考慮されないためです。任意のファイルの内容がブラウザに返される可能性があります。影響を受けるのは、Vite開発サーバーをネットワークに明示的に公開しているアプリのみです（`--host` または `server.host` 設定オプションを使用）。バージョン 6.2.3、6.1.2、6.0.12、5.4.15、および 4.5.10 でこの問題は修正されています。
ソース
vite/CVE-2025-30208
Vite Development Server Arbitrary File Read Bypass (CVE-2025-30208)
Vulhub vulnerability labs記載された条件
- lab image version: vulhub/vite:6.2.2(vite/CVE-2025-30208/docker-compose.yml:services.web.image)
http/cves/2025/CVE-2025-30208.yaml
Nuclei Templates記載された条件
- network: http($.protocol_keys)
- verification: regex,status,word($.matchers[*].type)
- CVE-2025-30208スキャナー
CVE-2025-30208のVite Dev Server用スキャナー。単一および複数URLのスキャンに対応し、複数のペイロード、マルチスレッド、脆弱なURLの出力を備えています。
- CVE-2025-30208エクスプロイト
Vite /@fs/ Path Traversal（transformMiddleware内）の任意ファイル読み取り脆弱性（CVE-2025-30208）に対するエクスプロイトスクリプトのPoC。
- CVE-2025-30208エクスプロイト
CVE-2025-30208 エクスプロイトスクリプト
- CVE-2025-30208エクスプロイト
CVE-2025-30208（Vite任意ファイル読み取り）用エクスプロイトスキャナー。多変種バイパス検出、資格情報収集、SSHキー抽出、および許可された侵入テスト用の構造化レポートを備えています。
- ViteVulScanエクスプロイト
CVE-2025-30208 および CVE-2025-31125 に対する脆弱性悪用
CVE-2025-30208 ViteVulnScanner
- Vite-CVE-2025-30208-EXPエクスプロイト
CVE-2025-30208のPythonベースのエクスプロイト。Vite開発サーバーの任意ファイル読み取りを標的とします。単一ターゲット検出、カスタムファイルパス、システムプロービング、詳細な環境分析、HTTP/HTTPSプロキシをサポートします。
- CVE-2025-30208スキャナー
CVE-2025-30208 検出ツール。pythonスクリプト && nucleiテンプレート
4つのVite開発サーバーの任意ファイル読み取り脆弱性（CVE-2025-30208/31125/31486/32395）に対するエクスプロイトガイドおよび自動検出スクリプト（LinuxおよびWindowsの例付き）。
- CVE-2025-30208エクスプロイト
このエクスプロイトは教育目的および倫理的なセキュリティテスト専用です。対象への事前の相互同意なしでの使用は違法であり、開発者は誤用や損害に対する一切の責任を負いません。
CVE-2025-30208系脆弱性の再現分析
- CVE-2025-30208エクスプロイト
CVE‑2025‑30208 は、Vite 開発サーバー（人気のフロントエンドビルドツール）における中程度の重要度の任意ファイル読み取り脆弱性です。
- CVE-2025-30208エクスプロイト
CVE‑2025‑30208 は、Vite 開発サーバー（人気のフロントエンドビルドツール）における中程度の深刻度の任意ファイル読み取り脆弱性です。
CVE-2025-30208 - Vite 任意ファイル読み取り PoC
- CVE-2025-30208-EXPエクスプロイト
CVE-2025-30208-EXP
POC
- CVE-2025-30208-templateエクスプロイト
CVE-2025-30208用のNucleiテンプレート。Viteのファイル読み取り脆弱性を悪用します。脆弱なターゲットを特定するためのHunter、FOFA、Shodanの検索クエリが含まれています。
- CVE-2025-30208-PoCスキャナー
マルチスレッド対応のPythonスキャナで、CVE-2025-30208 Viteパストラバーサル脆弱性を検出します。カスタムペイロード対応、バッチスキャン、プロキシデバッグ機能を備えています。
CVE-2025-30208-EXP 任意のファイル読み取り
CVE-2025-30208 任意ファイル読み取り脆弱性のクイック検証
- CVE-2025-30208-Viteエクスプロイト
CVE-2025-30208 | Vite脚本
- CVE-2025-30208スキャナー
CVE-2025-30208 のマススキャン
4m3rr0r · multiple · 2025/04/03
責任ある使用
脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイト コードや悪意のあるペイロードは保存しません。