CVE-2025-31486 in vite
Tóm tắt
Bởi VulDB • 29/05/2026
Vite là một khung công cụ frontend cho JavaScript. Nội dung của các tệp tùy ý có thể được trả về trình duyệt. Bằng cách thêm ?.svg với ?.wasm?init hoặc với tiêu đề sec-fetch-dest: script, hạn chế server.fs.deny đã có thể bị bỏ qua. Việc bỏ qua này chỉ khả thi nếu tệp nhỏ hơn build.assetsInlineLimit (mặc định: 4kB) và khi sử dụng Vite 6.0+. Chỉ các ứng dụng công khai máy chủ phát triển Vite ra mạng (sử dụng tùy chọn --host hoặc server.host trong cấu hình) mới bị ảnh hưởng. Lỗ hổng này đã được sửa trong các phiên bản 4.5.12, 5.4.17, 6.0.14, 6.1.4 và 6.2.5.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.