CVE-2025-32395

Vite JavaScript üçün frontend alətlər çərçivəsidir. 6.2.6, 6.1.5, 6.0.15, 5.4.18 və 4.5.13 versiyalarından əvvəl, dev server Node və ya Bun üzərində işləyirsə, istənilən faylların məzmunu brauzerə qaytarıla bilər. HTTP 1.1 spesifikasiyası (RFC 9112) request-target hissəsində # simvoluna icazə vermir, lakin hücumçu belə bir sorğu göndərə bilər. Yanlış request-line (request-target daxil olmaqla) olan sorğular üçün spesifikasiya onları 400 və ya 301 ilə rədd etməyi tövsiyə edir. Eyni qayda HTTP 2 üçün də keçərlidir. Node və Bun mühitlərində bu sorğular daxili şəkildə rədd edilmir və istifadəçi tərəfinə ötürülür. Belə sorğularda http.IncomingMessage.url dəyəri # simvolunu ehtiva edir. Vite, server.fs.deny yoxlamasını apararkən req.url-in # simvolunu ehtiva etməyəcəyini fərz etmişdir ki, bu da həmin növ sorğuların yoxlamadan yan keçməsinə şərait yaradır. Yalnız Vite dev serverini açıq şəkildə şəbəkəyə açan ( --host və ya server.host konfiqurasiya seçimindən istifadə edərək) və Vite dev serverini Deno olmayan mühitlərdə (məsələn, Node, Bun) işlədən tətbiqlər təsirlənir. Bu zəiflik 6.2.6, 6.1.5, 6.0.15, 5.4.18 və 4.5.13 versiyalarında aradan qaldırılmışdır.