- Aktif istismar
- Yama var
- CWE-200
- CWE-284
CVE-2025-31125
Vite'ta ?import sorgusuyla server.fs.deny kısıtlamasının aşılması
- Yayımlandı
- Güncellendi
- 23 Oca 2026
- Açık yaşı
- 576 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Vite, JavaScript için bir ön yüz araç çatısıdır. Vite, ?inline&import veya ?raw?import sorgularını kullanarak izin verilmeyen dosyaların içeriğini açığa çıkarır. Yalnızca Vite geliştirme sunucusunu (--host seçeneği veya server.host yapılandırma seçeneği kullanılarak) ağa açıkça dışa açan uygulamalar etkilenir. Bu güvenlik açığı 6.2.4, 6.1.3, 6.0.13, 5.4.16 ve 4.5.11 sürümlerinde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Vite is a frontend tooling framework for javascript. Vite exposes content of non-allowed files using ?inline&import or ?raw?import. Only apps explicitly exposing the Vite dev server to the network (using --host or server.host config option) are affected. This vulnerability is fixed in 6.2.4, 6.1.3, 6.0.13, 5.4.16, and 4.5.11.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| vitejs vite | < 4.5.11 | 4.5.11 |
Kaynaklar4 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.