CVE-2026-53571
Təsvir
Vite JavaScript üçün frontend alətlər framework-idir. 8.0.16, 7.3.5 və 6.4.3 versiyalarından əvvəl Windows-da server.fs.deny tərəfindən müəyyən edilən faylların məzmunu brauzerə qaytarıla bilərdi. Vite-in dev serveri server.fs.deny vasitəsilə həssas fayllara birbaşa girişi rədd edir, o cümlədən .env, .env.* və *.{crt,pem} kimi qeydləri. Lakin Windows-da rədd məntiqi giriş yoxlamaları tətbiq edilməzdən əvvəl NTFS ADS yol formalarını düzgün normallaşdırmır. Buna görə də /.env::$DATA?raw kimi sorğular icazə verilən yol kimi qəbul edilir, halbuki Windows onları orijinal faylın defolt data axınına çevirir. Buna bənzər olaraq, Windows 8.3 qısa ad uyğunluq xüsusiyyəti ilə fayla fərqli ad istifadə edərək girişi mümkün edir. Vite onlar vasitəsilə fayllara girişi rədd etmirdi. Bu zəiflik 8.0.16, 7.3.5 və 6.4.3 versiyalarında düzəldilib.
Necə düzəltmək olar
- vitejs vite6.4.3, 7.3.5, 8.0.16 və ya daha yeni versiya
- voidzero vite\+0.1.24 və ya daha yeni versiya
- vite8.0.16, 7.3.5, 6.4.3 və ya daha yeni versiya
- vite-plus0.1.24 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vitejs vite | v < 6.4.3, 7.0.0 ≤ v < 7.3.5, 8.0.0 ≤ v < 8.0.16 | 6.4.3, 7.3.5, 8.0.16 |
| voidzero vite\+ | v < 0.1.24 | 0.1.24 |
| vitenpm | 8.0.0 ≤ v < 8.0.16, 7.0.0 ≤ v < 7.3.5, v < 6.4.3 | 8.0.16, 7.3.5, 6.4.3 |
| vite-plusnpm | v < 0.1.24 | 0.1.24 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.