- Yama var
- CWE-22
- CWE-284
CVE-2026-112946
Vite'ta proje yollarının sistem yollarıyla çakıştığı durumda sunucu dışı dosyaların erişilebilmesi
- Yayımlandı
- Güncellendi
- 20 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Vite, JavaScript için bir ön yüz araç çerçevesidir. 6.4.4, 7.3.7, 8.1.6, 8.2.4 ve 8.3.3 sürümlerinden önce, içe aktarma analizi, temizlenmiş çözümlenmiş modül tanımlayıcısı yerine tarayıcıdan gelen kök-göreli bir URL'yi safeModulePaths içine kaydedebiliyordu. Ağdan erişilebilen, Windows dışındaki bir geliştirme sunucusunda, URL'si bir ana bilgisayar mutlak yoluyla eşleşen içe aktarılmış bir proje dosyası, sonraki ham dosya sistemi isteği için o ana bilgisayar dosyasına yetki verebilir; bu, server.fs.deny tarafından engellenmediği sürece geçerlidir. İstek, proje kökü dışındaki eşleşen dosyanın ifşa edilmesine yol açabilir; ancak ana bilgisayar yolunun uygulama grafiğinde yetkilendirilmiş proje-göreli bir URL ile karşılık gelmesi gerektiğinden, keyfi yol geçişine (path traversal) izin vermez. Bu sorun 6.4.4, 7.3.7, 8.1.6, 8.2.4 ve 8.3.3 sürümlerinde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Vite is a frontend tooling framework for JavaScript. Prior to 6.4.4, 7.3.7, 8.1.6, 8.2.4, and 8.3.3, import analysis can record a root-relative browser URL in safeModulePaths instead of the cleaned resolved module identifier. On a network-accessible, non-Windows development server, an imported project file whose URL matches an absolute host path can authorize a later raw-filesystem request for that host file, provided server.fs.deny does not block it. The request can disclose the matching file outside the project root, but it does not allow arbitrary path traversal because the host path must correspond to a project-relative URL authorized by the application graph. This issue is fixed in versions 6.4.4, 7.3.7, 8.1.6, 8.2.4, and 8.3.3.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| vitejs vite | < 6.4.4 | 6.4.4 |
| vitejs vite-plus | < 1.1.0 | 1.1.0 |
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…s/vite/security/advisories/GHSA-rq7h-c2jc-7f22 Diğer
- github.com/vitejs/vite/pull/23656 Diğer
- github.com/…ommit/170b92791421bcd484f7325936d989a82d6bd4aa Diğer
- github.com/…ommit/45c0e3392a298626955a0ab93a8e51232daac721 Diğer
- github.com/…ommit/c3e06f92e969952466b4e2f5801e85e1e00cd905 Diğer
- github.com/…ommit/e570d8d016096b5f8f6f09808376ca6cf73f27d0 Diğer
- github.com/…ommit/f0d76c7da13d5e794807b82f0b86c1931a8438e3 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.