CVE-2025-67489 in vite-plugin-react
Zusammenfassung
von VulDB • 31.05.2026
@vitejs/plugin-rs bietet Unterstützung für React Server Components (RSC) für Vite. Versionen 0.5.5 und älter sind anfällig für beliebige Remote-Code-Ausführung (RCE) auf dem Entwicklungsserver durch unsichere dynamische Imports in Server-Funktions-APIs (loadServerAction, decodeReply, decodeAction), wenn sie in RSC-Anwendungen integriert werden, die Server-Funktions-Endpunkte exponieren. Angreifer mit Netzwerkzugriff auf den Entwicklungsserver können Dateien lesen/ändern, sensible Daten (Quellcode, Umgebungsvariablen, Anmeldeinformationen) exfiltrieren oder zu anderen internen Diensten pivotieren. Obwohl dies nur Entwicklungsserver betrifft, steigt das Risiko, wenn vite --host verwendet wird, um den Server auf allen Netzwerkschnittstellen zu exponieren. Dieses Problem wurde in Version 0.5.6 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.