CVE-2025-46565
Açıklama
Vite, javascript için bir frontend araç çerçevesidir. 6.3.4, 6.2.7, 6.1.6, 5.4.19 ve 4.5.14 versiyonlarından öncekilerde, proje kök dizinindeki dosyaların içerikleri, bir dosya eşleştirme deseni tarafından engellenmiş olsa bile tarayıcıya döndürülebilir. Yalnızca Vite geliştirici sunucusunu ağa açıkça sunan uygulamalar (--host veya server.host yapılandırma seçeneğini kullanarak) etkilenmektedir. Sadece proje kökü altında bulunan ve bir dosya eşleştirme deseni ile engellenen dosyalar atlatılabilir. `server.fs.deny`, dosyalarla eşleşen desenler içerebilir (varsayılan olarak .env, .env.*, *.{crt,pem} gibi desenleri içerir). Bu desenlerin, eğik çizgi ve nokta (/.) kombinasyonu kullanılarak `root` altındaki dosyalar için atlatılabildiği tespit edilmiştir. Bu sorun 6.3.4, 6.2.7, 6.1.6, 5.4.19 ve 4.5.14 versiyonlarında giderilmiştir.
Nasıl düzeltilir
- vitejs vite4.5.14, 5.4.19, 6.1.6, 6.2.7, 6.3.4 ya da sonraki bir sürüm
- vite6.3.4, 6.2.7, 6.1.6, 5.4.19, 4.5.14 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vitejs vite | v < 4.5.14, 5.0.0 ≤ v < 5.4.19, 6.0.0 ≤ v < 6.1.6, 6.2.0 ≤ v < 6.2.7, 6.3.0 ≤ v < 6.3.4 | 4.5.14, 5.4.19, 6.1.6, 6.2.7, 6.3.4 |
| vitenpm | 6.3.0 ≤ v < 6.3.4, 6.2.0 ≤ v < 6.2.7, 6.0.0 ≤ v < 6.1.6, 5.0.0 ≤ v < 5.4.19, v < 4.5.14 | 6.3.4, 6.2.7, 6.1.6, 5.4.19, 4.5.14 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.