PT-2024-31792 · Vite · Vite
Adi1
·
Publicado
2024-09-17
·
Atualizado
2025-01-17
·
CVE-2024-45811
CVSS v4.0
6.9
Média
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N |
Nome do software vulnerável e versões afetadas:
Versões do Vite anteriores à 3.2.11
Versões do Vite anteriores à 4.5.5
Versões do Vite anteriores à 5.2.14
Versões do Vite anteriores à 5.3.6
Versões do Vite anteriores à 5.4.6
Descrição:
O conteúdo de arquivos arbitrários pode ser retornado ao navegador.
@fs nega acesso a arquivos fora da lista de permissões do Vite. Adicionar ?import&raw à URL contorna essa limitação e retorna o conteúdo do arquivo, caso ele exista.Recomendações:
Para versões anteriores à 3.2.11, atualize para a versão 3.2.11 ou posterior.
Para versões anteriores à 4.5.5, atualize para a versão 4.5.5 ou posterior.
Para versões anteriores à 5.2.14, atualize para a versão 5.2.14 ou posterior.
Para versões anteriores à 5.3.6, atualize para a versão 5.3.6 ou posterior.
Para versões anteriores à 5.4.6, atualize para a versão 5.4.6 ou posterior.
Como solução temporária, considere restringir o acesso ao módulo
@fs até que um patch esteja disponível.Evite usar o parâmetro
?import&raw na URL afetada até que o problema seja resolvido.Exploit
Correção
Information Disclosure
Improper Access Control
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Vite