CVE-2025-32395
Açıklama
Vite, JavaScript için bir frontend araçları çerçevesidir. 6.2.6, 6.1.5, 6.0.15, 5.4.18 ve 4.5.13 sürümlerinden önce, geliştirme sunucusu Node veya Bun üzerinde çalışıyorsa rastgele dosyaların içeriği tarayıcıya döndürülebilir. HTTP 1.1 spesifikasyonu (RFC 9112) request-target içinde # karakterine izin vermez. Ancak bir saldırgan böyle bir istek gönderebilir. Geçersiz request-line içeren (request-target dahil) bu istekler için spesifikasyon, bunların 400 veya 301 ile reddedilmesini önerir. Aynı durum HTTP 2 için de geçerlidir. Node ve Bun üzerinde bu istekler dahili olarak reddedilmez ve kullanıcı alanına iletilir. Bu istekler için http.IncomingMessage.url değeri # içerir. Vite, server.fs.deny kontrolü yaparken req.url'nin # içermeyeceğini varsaymıştır ve bu tür isteklerin kontrolü atlatmasına olanak tanımıştır. Yalnızca Vite geliştirme sunucusunu ağa açık şekilde sunan (--host veya server.host yapılandırma seçeneğini kullanan) ve Vite geliştirme sunucusunu Deno dışındaki çalışma zamanlarında (ör. Node, Bun) çalıştıran uygulamalar etkilenir. Bu güvenlik açığı 6.2.6, 6.1.5, 6.0.15, 5.4.18 ve 4.5.13 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- vite6.2.6, 6.1.5, 6.0.15, 5.4.18, 4.5.13 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vitenpm | 6.2.0 ≤ v < 6.2.6, 6.1.0 ≤ v < 6.1.5, 6.0.0 ≤ v < 6.0.15, 5.0.0 ≤ v < 5.4.18, v < 4.5.13 | 6.2.6, 6.1.5, 6.0.15, 5.4.18, 4.5.13 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.