CVE-2026-112947
Vite: First 4 bytes of files outside of `server.fs` setting is exposed by `?vite-wasm-instance`
CVSS 3.1Medium
6.3/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 8.3.3, 8.2.4, 1.1.0
Обновить пакет Vite до версий 8.2.4, 8.3.3 или выше.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Утечка первых 4 байт произвольных файлов за пределами server.fs в dev-сервере Vite через параметр ?vite-wasm-instance.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Хук load встроенного плагина Wasm перехватывает запросы с параметром ?vite-wasm-instance, отсекает суффикс и читает файл с диска без проверки ограничений server.fs. При сбое парсинга файла как WebAssembly среда исполнения (Node.js/Deno) возвращает ошибку, содержащую первые 4 байта файла.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Неавторизованное чтение сигнатур и первых 4 байт файлов файловой системы сервера разработчика, выходящих за границы разрешенной директории проекта.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
vitejsvite
>= 8.3.0➔Fix: 8.3.3
vitejsvite
>= 8.2.0➔Fix: 8.2.4
vitejsvite-plus
>= 0.2.8➔Fix: 1.1.0
——
>= 8.3.0➔Fix: 8.3.3
——
>= 8.2.0➔Fix: 8.2.4
——
>= 0.2.8➔Fix: 1.1.0
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)
- github.comhttps://github.com/vitejs/vite/security/advisories/GHSA-vfpm-58rq-9qcg
- github.comhttps://github.com/vitejs/vite/pull/23655
- github.comhttps://github.com/vitejs/vite/commit/b6c6d2fb3f853aab4092dc25f0d6816a96c23dff
- github.comhttps://github.com/vitejs/vite/commit/ba8b7ab43b4afa5d0292ab4b6e3a7b5033cc9c73
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-112947: Vite: First 4 bytes of files outside of `server.fs` setting is exposed by `?vite-wasm-instance`. URL: https://cve.futuretools.ru/cve/CVE-2026-112947
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_112947,
title = {{CVE-2026-112947: Vite: First 4 bytes of files outside of `server.fs` setting is exposed by `?vite-wasm-instance`}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-112947}},
note = {Оперативный инженерный анализ киберугроз}
}