CVE-2025-32395

总结

Vite 是一个用于 JavaScript 的前端工具框架。在 6.2.6、6.1.5、6.0.15、5.4.18 和 4.5.13 版本之前，如果开发服务器运行在 Node 或 Bun 上，任意文件的内容都可能被返回给浏览器。HTTP 1.1 规范（RFC 9112）不允许在请求目标（request-target）中包含 `#`。尽管攻击者可以发送此类请求。对于这些具有无效请求行（包含请求目标）的请求，规范建议以 400 或 301 状态码拒绝它们。HTTP 2 也是如此。在 Node 和 Bun 上，这些请求不会被内部拒绝，而是被传递到用户空间。对于这些请求，`http.IncomingMessage.url` 的值包含 `#`。Vite 在检查 `server.fs.deny` 时假定 `req.url` 不会包含 `#`，从而允许此类请求绕过检查。只有将 Vite 开发服务器显式暴露到网络（使用 `--host` 或 `server.host` 配置选项）并在非 Deno 运行时（例如 Node、Bun）上运行 Vite 开发服务器的应用才会受到影响。此漏洞已在 6.2.6、6.1.5、6.0.15、5.4.18 和 4.5.13 版本中修复。

来源