- Yama var
- CWE-80
CVE-2026-112945
Vite özel ara katmanında (middleware) çapraz kaynaklı betik çalıştırma açığı
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Vite, JavaScript için bir ön yüz araç çerçevesidir. 6.4.4, 7.3.7, 8.1.6, 8.2.4 ve 8.3.3 sürümlerinden önceki sürümlerde, özel ara katman kullanan uygulamalar, değiştirilmemiş bir tarayıcı istek URL'sini server.transformIndexHtml fonksiyonuna ilettiğinde savunmasız durumdadır. getHtmlFilename, sorgu parametreleri içeren istek URL'sini mevcut yerel bir dosyayı çözümlemek için kullanır ve oluşturulan proxy modül URL'sinde saldırgan tarafından sağlanan baştaki eğik çizgileri korur. Dönüştürülen HTML satır içi bir modül betiği içeriyorsa ve kurban tarayıcı hazırlanmış geliştirme sunucusu sayfasını yüklerse, baştaki çift eğik çizgi tarayıcının saldırgan kontrolündeki bir modülü getirip Vite tarafından sunulan sayfada çalıştırmasına neden olur. Bu çalıştırma, sayfadaki hassas verileri ifşa edebilir veya etkilenen uygulamada bulunan kritik işlemlere izin verebilir. Bu sorun 6.4.4, 7.3.7, 8.1.6, 8.2.4 ve 8.3.3 sürümlerinde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Vite is a frontend tooling framework for JavaScript. Prior to 6.4.4, 7.3.7, 8.1.6, 8.2.4, and 8.3.3, applications using custom middleware are vulnerable when they pass an unchanged browser request URL to server.transformIndexHtml. getHtmlFilename uses the query-bearing request URL to resolve an existing local file while preserving attacker-supplied leading slashes in the generated proxy module URL. If the transformed HTML contains an inline module script and a victim browser loads the crafted development-server page, the leading double slash makes the browser fetch and execute an attacker-controlled module in the Vite-served page. This execution can expose sensitive page data or permit critical actions available to the affected application. This issue is fixed in versions 6.4.4, 7.3.7, 8.1.6, 8.2.4, and 8.3.3.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| vitejs vite | < 6.4.4 | 6.4.4 |
| vitejs vite-plus | < 1.1.0 | 1.1.0 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.