CVE-2025-32395

概要

Viteは、JavaScript用のフロントエンドツーリングフレームワークです。6.2.6、6.1.5、6.0.15、5.4.18、および4.5.13より前のバージョンでは、開発サーバーがNodeまたはBunで実行されている場合、任意のファイルの内容がブラウザに返される可能性があります。HTTP 1.1仕様（RFC 9112）では、リクエストターゲットに#を含めることは許可されていません。ただし、攻撃者はそのようなリクエストを送信することができます。無効なリクエストライン（リクエストターゲットを含む）を持つリクエストについては、仕様では400または301で拒否することを推奨しています。HTTP 2についても同様のことが言えます。NodeおよびBunでは、これらのリクエストは内部的に拒否されず、ユーザーランドに渡されます。これらのリクエストについて、http.IncomingMessage.urlの値には#が含まれます。Viteはserver.fs.denyをチェックする際にreq.urlに#が含まれないことを想定しており、そのような種類のリクエストがチェックをバイパスできるようになっていました。Vite開発サーバーをネットワークに明示的に公開している（--hostまたはserver.host設定オプションを使用）アプリケーションのみが影響を受け、かつDeno以外のランタイム（例：Node、Bun）でVite開発サーバーを実行している場合に限ります。この脆弱性は6.2.6、6.1.5、6.0.15、5.4.18、および4.5.13で修正されています。

• CVE-2025-30208-31125-31486-32395エクスプロイト

  4つのVite開発サーバーの任意ファイル読み取り脆弱性（CVE-2025-30208/31125/31486/32395）に対するエクスプロイトガイドおよび自動検出スクリプト（LinuxおよびWindowsの例付き）。

• CVE-2025-32395PoC

  CVE-2025-32395-POC