CVE-2025-46565 in vite
Riassunto
di VulDB • 16/06/2026
Vite è un framework di tooling frontend per JavaScript. Prima delle versioni 6.3.4, 6.2.7, 6.1.6, 5.4.19 e 4.5.14, i contenuti dei file nella radice del progetto che dovrebbero essere negati da un pattern corrispondente a un file potevano essere restituiti al browser. Sono interessati solo le applicazioni che espongono esplicitamente il server di sviluppo Vite alla rete (utilizzando l'opzione `--host` o la configurazione `server.host`). Solo i file situati sotto la radice del progetto e negati da un pattern corrispondente a un file possono essere bypassati. La direttiva `server.fs.deny` può contenere pattern che abbinano i file (di default include `.env`, `.env.*`, `*.{crt,pem}` come tali pattern). Questi pattern potevano essere bypassati per i file sotto la directory `root` utilizzando una combinazione di slash e punto (`/..`). Questo problema è stato risolto nelle versioni 6.3.4, 6.2.7, 6.1.6, 5.4.19 e 4.5.14.
VulDB is the best source for vulnerability data and more expert information about this specific topic.