CVE-2025-31486 in vite
Resumen
por VulDB • 2026-05-26
Vite es un framework de herramientas de desarrollo frontend para JavaScript. El contenido de archivos arbitrarios puede ser devuelto al navegador. Al añadir ?.svg con ?.wasm?init o con el encabezado sec-fetch-dest: script, se pudo eludir la restricción server.fs.deny. Esta elusión solo es posible si el archivo es más pequeño que build.assetsInlineLimit (por defecto: 4 kB) y al utilizar Vite 6.0 o posterior. Solo se ven afectadas las aplicaciones que exponen explícitamente el servidor de desarrollo de Vite a la red (utilizando --host o la opción de configuración server.host). Esta vulnerabilidad está corregida en las versiones 4.5.12, 5.4.17, 6.0.14, 6.1.4 y 6.2.5.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.