CVE-2025-30208
Vite обходит server.fs.deny при использовании ?raw??
- Опубликовано
- 24 мар. 2025 г.
- Обновлено
- 24 мар. 2025 г.
- Назначение CNA
- GitHub_M
- Наблюдены доказательства
- 3 апр. 2025 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NВысокий · следующие 30 дней
- Процентиль
- 99,5 %
- Дата модели
- 15 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
Vite, поставщик инструментов для фронтенд-разработки, имеет уязвимость в версиях до 6.2.3, 6.1.2, 6.0.12, 5.4.15 и 4.5.10. `@fs` запрещает доступ к файлам за пределами списка разрешённых для обслуживания Vite. Добавление `?raw??` или `?import&raw??` к URL обходит это ограничение и возвращает содержимое файла, если он существует. Этот обход существует, потому что завершающие разделители, такие как `?`, удаляются в нескольких местах, но не учитываются в регулярных выражениях строк запроса. Содержимое произвольных файлов может быть возвращено в браузер. Затронуты только приложения, явно открывающие dev-сервер Vite для сети (с помощью параметра `--host` или опции конфигурации `server.host`). Версии 6.2.3, 6.1.2, 6.0.12, 5.4.15 и 4.5.10 устраняют проблему.
Источники
vite/CVE-2025-30208
Vite Development Server Arbitrary File Read Bypass (CVE-2025-30208)
Vulhub vulnerability labsЗаявленные условия
- lab image version: vulhub/vite:6.2.2(vite/CVE-2025-30208/docker-compose.yml:services.web.image)
http/cves/2025/CVE-2025-30208.yaml
Nuclei TemplatesЗаявленные условия
- network: http($.protocol_keys)
- verification: regex,status,word($.matchers[*].type)
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.