جزئیات آسیب‌پذیری
CVE-2026-118662
vitejs vite
Vite: `server.fs.deny` bypassed with queries
CVSS 4.0
6.9متوسط
نمای کلی
اکسپلویت‌های عمومی
اخبار مرتبط
خط زمانی
خلاصه‌ی فارسی
خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.
شرح رسمی (انگلیسی)
Vite is a frontend tooling framework for JavaScript. From 6.4.4 until 6.4.5, the Vite development server can evaluate server.fs.deny before stripping loader query parameters such as ?raw, ?import&raw, or ?import&url&inline. When the development server is exposed to the network and a sensitive file is inside server.fs.allow but matched by server.fs.deny, an unauthenticated attacker can append one of these queries and retrieve the denied file. This issue is fixed in version 6.4.5.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 6.9متوسط | 4.0 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:H/SI:N/SA:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| vitejs | vite | >= 6.4.4, < 6.4.5 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۵- https://github.com/vitejs/vite/security/advisories/GHSA-8g5g-mxqh-grgj x_refsource_CONFIRM
- https://github.com/vitejs/vite/pull/22160 x_refsource_MISC
- https://github.com/vitejs/vite/pull/23855 x_refsource_MISC
- https://github.com/vitejs/vite/commit/91e40d7bf9777057bbd31c3eb036a54c9465697e x_refsource_MISC
- https://github.com/vitejs/vite/releases/tag/v6.4.5 x_refsource_MISC
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۸/۰۷
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۸/۱۲
- وضعیت
- PUBLISHED
- صادرکننده (CNA)
- GitHub_M
- اولویت کلون
- به‌زودی
پیش‌بینی بهره‌برداری (EPSS)
۰٫۲۹٪
احتمال بهره‌برداری در ۳۰ روز
۲۲٫۱٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- Automatable
- yes
- Exploitation
- none
- Technical Impact
- partial
ضعف‌ها (CWE)
- CWE-180Incorrect Behavior Order: Validate Before Canonicalize
- CWE-284Improper Access Control