PT-2026-30926 · Vite · Vite

Ochk0 + 1 · Publicado 2026-04-06 · Atualizado 2026-05-19 · CVE-2026-39365

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.3

Média

Vetor base

AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Vite versões 6.0.0 até 6.4.1, 7.3.2 e 8.0.5

Descrição O servidor de desenvolvimento Vite lida incorretamente com solicitações .map para dependências otimizadas. Ele resolve caminhos de arquivos e chama readFile sem restringir segmentos '../' na URL, permitindo potencialmente ignorar a lista de permissões server.fs.strict e recuperar arquivos .map localizados fora do diretório raiz do projeto se forem JSON de mapa de origem válidos. Isso pode expor conteúdo confidencial se o servidor estiver exposto à rede e caminhos previsíveis para arquivos .map existirem.

Recomendações Atualize para a versão Vite 6.4.2 ou posterior, 7.3.2 ou 8.0.5.

Correção

Path traversal

Information Disclosure

Enumeração de Fraquezas

CWE-22

CWE-200

Identificadores relacionados

CVE-2026-39365

GHSA-4W7W-66W2-5VF9

Produtos afetados

Vite

Referências · 12

• https://github.com/vitejs/vite · Nota
• https://github.com/vitejs/vite/commit/79f002f2286c03c88c7b74c511c7f9fc6dc46694 · Nota
• https://github.com/vitejs/vite/pull/22161 · Nota
• https://github.com/vitejs/vite/security/advisories/GHSA-4w7w-66w2-5vf9 · Aviso do Fabricante
• https://github.com/vitejs/vite/releases/tag/v6.4.2 · Nota
• https://github.com/vitejs/vite/releases/tag/v8.0.5 · Nota
• https://github.com/vitejs/vite/releases/tag/v7.3.2 · Nota
• https://osv.dev/vulnerability/ROOT-APP-NPM-CVE-2026-39365 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-4w7w-66w2-5vf9 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-39365 · Nota de Segurança
• https://twitter.com/CVEnew/status/2041603144828789062 · Publicação no Twitter
• https://twitter.com/pdnuclei_bot/status/2041697571639587015 · Publicação no Twitter