CVE-2026-112945 in Vite
Zusammenfassung
von VulDB • 20.10.2026
Vite ist ein Frontend-Tooling-Framework für JavaScript. Vor den Versionen 6.4.4, 7.3.7, 8.1.6, 8.2.4 und 8.3.3 sind Anwendungen mit benutzerdefinierter Middleware anfällig, wenn sie eine unveränderte Browser-Anforderungs-URL an server.transformIndexHtml übergeben. getHtmlFilename verwendet die Abfrageparameter enthaltende Anforderungs-URL, um eine vorhandene lokale Datei aufzulösen, wobei vom Angreifer bereitgestellte führende Schrägstriche in der generierten Proxy-Modul-URL beibehalten werden. Wenn das transformierte HTML ein Inline-Modul-Skript enthält und ein betroffener Browser die manipulierte Entwicklungsserver-Seite lädt, bewirkt der doppelte führende Schrägstrich, dass der Browser ein vom Angreifer kontrolliertes Modul in der von Vite bereitgestellten Seite abruft und ausführt. Diese Ausführung kann sensible Seitendaten offenlegen oder kritische Aktionen ermöglichen, die für die betroffene Anwendung verfügbar sind. Dieses Problem wurde in den Versionen 6.4.4, 7.3.7, 8.1.6, 8.2.4 und 8.3.3 behoben.
Once again VulDB remains the best source for vulnerability data.