CVE-2025-30208

Vite /@fs/ Path Traversal (CVE-2025-30208) の 任意のファイル読み取り 脆弱性のエクスプロイトスクリプトの PoC です。詳細な分析はこちらの記事をご参照ください。

以下のバージョン未満で脆弱性があります:

概要

Vite は人気のオープンソースプロジェクトであり、Github や公式ウェブサイトから入手できます。開発モードでは特別なプレフィックス @fs を使用して、絶対ファイルパス への直接アクセスを許可しています:

GET /@fs/<absolute/path/to/file>

しかし、悪用を防ぐため、Vite は次のような設定を使用して @fs でアクセスできるものを制限しています:

server: {
  fs: {
    allow: [path.resolve(__dirname, 'src')]
  }
}

したがって理論的には、許可されたディレクトリの外にあるファイル（/etc/passwd など）は、のようなトリックを使ってもされるはずです。

フラグ/オプション	説明
`-u`, `--url`	単一ターゲット URL（例: `example.com:5173`）
`-f`, `--file`	ターゲットリストを含むファイル（1行に1URL）
`-p`, `--path`	読み取るファイルシステムパス（デフォルト: `/etc/passwd`）
`-b`, `--bypass`	ルート検証をバイパスするクエリ文字列（デフォルト: `?raw??`）
`--proxy`	プロキシ URL（例: `http://127.0.0.1:8080`）
`-o`, `--output`	エクスプロイト結果の保存先ディレクトリ（デフォルト: `results`）
`-t`, `--threads`	バッチモードのスレッド数（デフォルト: `10`）
`-h`, `--help`	ヘルプメッセージを表示して終了