PT-2026-49574 · Vite · Vite
CVSS v4.0
8.2
Alta
| Vetor | AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
Vite versões anteriores a 8.0.16
Vite versões anteriores a 7.3.5
Vite versões anteriores a 6.4.3
Description
No Windows, o servidor de desenvolvimento não normaliza corretamente as formas de caminho NTFS Alternate Data Streams (ADS) e os caminhos de compatibilidade de nome curto 8.3 antes de realizar as verificações de acesso. Isso permite que o conteúdo de arquivos sensíveis especificados em
server.fs.deny (como .env, .env.* e *.{crt,pem}) seja retornado ao navegador. Por exemplo, uma requisição para /.env::$DATA?raw é tratada como um caminho permitido, mas o Windows a resolve para o fluxo de dados padrão do arquivo original. Este problema afeta aplicações que expõem explicitamente o servidor de desenvolvimento à rede, onde o arquivo sensível reside em diretórios permitidos por server.fs.allow e está localizado em um volume NTFS ou em um volume com a geração de nomes curtos 8.3 habilitada.Recommendations
Atualizar para a versão 8.0.16.
Atualizar para a versão 7.3.5.
Atualizar para a versão 6.4.3.
Exploit
Correção
Path traversal
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Vite