CVE-2026-112945 in Vite
요약
\~에 의해 VulDB • 2026. 10. 20.
Vite는 JavaScript용 프론트엔드 도구 프레임워크입니다. 버전 6.4.4, 7.3.7, 8.1.6, 8.2.4 및 8.3.3 이전에서는 사용자 지정 미들웨어를 사용하는 애플리케이션이 변경되지 않은 브라우저 요청 URL을 server.transformIndexHtml에 전달할 때 취약합니다. getHtmlFilename은 쿼리가 포함된 요청 URL을 사용하여 기존 로컬 파일을 해결하는 과정에서 생성된 프록시 모듈 URL에서 공격자가 제공한 선행 슬래시를 그대로 유지합니다. 변환된 HTML에 인라인 모듈 스크립트가 포함되어 있고 피해자 브라우저가 조작된 개발 서버 페이지를 로드하면, 선행 이중 슬래시로 인해 Vite가 제공하는 페이지 내에서 공격자가 제어하는 모듈을 가져와 실행하게 됩니다. 이러한 실행으로 민감한 페이지 데이터가 노출되거나 해당 애플리케이션에서 허용되는 중요한 작업을 수행할 수 있습니다. 이 문제는 버전 6.4.4, 7.3.7, 8.1.6, 8.2.4 및 8.3.3에서 해결되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.