CVE-2023-34092
Açıklama
Vite ön uç araçları sağlar. 2.9.16, 3.2.7, 4.0.5, 4.1.5, 4.2.3 ve 4.3.9 versiyonlarından öncekilerde, Vite Sunucu Seçenekleri (`server.fs.deny`), çift ileri eğik çizgi (//) kullanılarak atlatılabilir; bu durum, kimliği doğrulanmamış herhangi bir kullanıcının varsayılan `fs.deny` ayarları (`['.env', '.env.*', '*.{crt,pem}']`) dahil olmak üzere uygulamanın Vite kök yolundan dosya okumasına olanak tanır. Yalnızca Vite geliştirici sunucusunu ağa açık hale getiren kullanıcılar (`--host` veya `server.host` yapılandırma seçeneğini kullanarak) etkilenir ve yalnızca doğrudan Vite proje kök klasöründeki dosyalar açığa çıkabilir. Bu sorun [email protected], [email protected], [email protected], [email protected], [email protected] ve [email protected] sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- vitejs vite3.2.7, 4.0.5, 4.1.5, 4.2.3, 4.3.9 ya da sonraki bir sürüm
- vite2.9.16, 3.2.7, 4.0.5, 4.1.5, 4.2.3, 4.3.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vitejs vite | 3.0.2 ≤ v < 3.2.7, 4.0.0 ≤ v < 4.0.5, 4.1.0 ≤ v < 4.1.5, 4.2.0 ≤ v < 4.2.3, 4.3.0 ≤ v < 4.3.9, 2.9.15 | 3.2.7, 4.0.5, 4.1.5, 4.2.3, 4.3.9 |
| vitenpm | v < 2.9.16, 3.0.2 ≤ v < 3.2.7, 4.0.0 ≤ v < 4.0.5, 4.1.0 ≤ v < 4.1.5, 4.2.0 ≤ v < 4.2.3, 4.3.0 ≤ v < 4.3.9 | 2.9.16, 3.2.7, 4.0.5, 4.1.5, 4.2.3, 4.3.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.