PT-2025-14786 · Vite · Vite
CVE-2025-31486
·
Publicado
2025-04-03
·
Atualizado
2025-11-10
CVSS v3.1
5.3
Média
| Vetor | AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do Vite 6.0.0 a 6.0.13
Versões do Vite 6.1.0 a 6.1.3
Versões do Vite 6.2.0 a 6.2.4
Versão do Vite 4.5.11 e anteriores
Versão do Vite 5.4.16 e anteriores
Descrição
O problema permite que o conteúdo de arquivos arbitrários seja retornado ao navegador. Isso pode ser conseguido adicionando
?.svg com ?.wasm?init ou incluindo um cabeçalho sec-fetch-dest: script, o que contorna a restrição server.fs.deny. O contorno só é possível se o arquivo for menor que build.assetsInlineLimit (padrão: 4kB) e ao usar o Vite 6.0+. Apenas aplicativos que expõem explicitamente o servidor de desenvolvimento do Vite à rede são afetados.Recomendações
Para as versões do Vite 6.0.0 a 6.0.13, atualize para a versão 6.0.14 ou posterior.
Para as versões do Vite 6.1.0 a 6.1.3, atualize para a versão 6.1.4 ou posterior.
Para as versões do Vite 6.2.0 a 6.2.4, atualize para a versão 6.2.5 ou posterior.
Para a versão do Vite 4.5.11 e anteriores, atualize para a versão 4.5.12 ou posterior.
Para a versão do Vite 5.4.16 e anteriores, atualize para a versão 5.4.17 ou posterior.
Como solução temporária, considere restringir o acesso ao servidor de desenvolvimento do Vite para minimizar o risco de exploração.
Exploit
Correção
Information Disclosure
Improper Access Control
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Vite