CVE-2026-112946
Vite: Files outside `server.fs.allow` could be served when project paths match system paths on non-Windows machine
CVSS 3.1Medium
6.3/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 8.3.3, 8.2.4, 8.1.6, 7.3.7, 6.4.4, 1.1.0
Обновить Vite до версий 6.4.4, 7.3.7, 8.1.6, 8.2.4, 8.3.3 или выше.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Утечка локальных файлов за пределами server.fs.allow в dev-сервере Vite на non-Windows системах.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Модуль анализа импортов Vite сохраняет в safeModulePaths относительный URL браузера вместо нормализованного пути. Если URL импортируемого файла совпадает с абсолютным системным путем, dev-сервер разрешает прямое чтение хостового файла при отсутствии блокировки в server.fs.deny.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Несанкционированное чтение файлов хостовой ОС за пределами корня проекта через сетевой dev-сервер.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
vitejsvite
>= 8.3.0➔Fix: 8.3.3
vitejsvite
>= 8.2.0➔Fix: 8.2.4
vitejsvite
>= 8.0.0➔Fix: 8.1.6
vitejsvite
>= 7.0.0➔Fix: 7.3.7
vitejsvite
все ранние➔Fix: 6.4.4
vitejsvite-plus
все ранние➔Fix: 1.1.0
——
>= 8.3.0➔Fix: 8.3.3
——
>= 8.2.0➔Fix: 8.2.4
——
>= 8.0.0➔Fix: 8.1.6
——
>= 7.0.0➔Fix: 7.3.7
——
>= 0➔Fix: 6.4.4
——
>= 0➔Fix: 1.1.0
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (7)
- github.comhttps://github.com/vitejs/vite/security/advisories/GHSA-rq7h-c2jc-7f22
- github.comhttps://github.com/vitejs/vite/pull/23656
- github.comhttps://github.com/vitejs/vite/commit/170b92791421bcd484f7325936d989a82d6bd4aa
- github.comhttps://github.com/vitejs/vite/commit/45c0e3392a298626955a0ab93a8e51232daac721
- github.comhttps://github.com/vitejs/vite/commit/c3e06f92e969952466b4e2f5801e85e1e00cd905
- github.comhttps://github.com/vitejs/vite/commit/e570d8d016096b5f8f6f09808376ca6cf73f27d0
- github.comhttps://github.com/vitejs/vite/commit/f0d76c7da13d5e794807b82f0b86c1931a8438e3
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-112946: Vite: Files outside `server.fs.allow` could be served when project paths match system paths on non-Windows machine. URL: https://cve.futuretools.ru/cve/CVE-2026-112946
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_112946,
title = {{CVE-2026-112946: Vite: Files outside `server.fs.allow` could be served when project paths match system paths on non-Windows machine}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-112946}},
note = {Оперативный инженерный анализ киберугроз}
}