CVE-2025-30208
Təsvir
Frontend tərtibat alətləri təminatçısı olan Vite-nin 6.2.3, 6.1.2, 6.0.12, 5.4.15 və 4.5.10 versiyalarından əvvəlki versiyalarında zəiflik mövcuddur. `@fs` Vite-in xidmət göstərdiyi icazəli siyahıdan kənarda olan fayllara girişi bloklayır. Lakin URL-ə `?raw??` və ya `?import&raw??` əlavə etmək bu məhdudiyyəti yan keçir və fayl mövcud olduqda onun məzmununu qaytarır. Bu yan keçmə, `?` kimi sonuncu ayırıcıların bir neçə yerdə silinməsi, lakin sorğu sətri (query string) reqex-ləri tərəfindən nəzərə alınmaması səbəbindən baş verir. İstənilən faylın məzmunu brauzerə qaytarıla bilər. Yalnız Vite dev serverini şəbəkəyə açıq şəkildə təqdim edən proqramlar (`--host` və ya `server.host` konfiqurasiya seçimindən istifadə edərək) bu problemdən təsirlənir. 6.2.3, 6.1.2, 6.0.12, 5.4.15 və 4.5.10 versiyaları problemi aradan qaldırır.
Necə düzəltmək olar
- vitejs vite4.5.10, 5.4.15, 6.0.12, 6.1.2, 6.2.3 və ya daha yeni versiya
- vite6.2.3, 6.1.2, 6.0.12, 5.4.15, 4.5.10 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vitejs vite | v < 4.5.10, 5.0.0 ≤ v < 5.4.15, 6.0.0 ≤ v < 6.0.12, 6.1.0 ≤ v < 6.1.2, 6.2.0 ≤ v < 6.2.3 | 4.5.10, 5.4.15, 6.0.12, 6.1.2, 6.2.3 |
| vitenpm | 6.2.0 ≤ v < 6.2.3, 6.1.0 ≤ v < 6.1.2, 6.0.0 ≤ v < 6.0.12, 5.0.0 ≤ v < 5.4.15, v < 4.5.10 | 6.2.3, 6.1.2, 6.0.12, 5.4.15, 4.5.10 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.