- CWE-22
- CWE-200
- CWE-209
CVE-2026-112947
Vite'ta ?vite-wasm-instance sorgusu ile server.fs dışındaki dosyaların ilk 4 baytı açığa çıkabiliyor
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Vite, JavaScript için bir ön yüz araç çatısıdır. 8.2.0 ile 8.2.4 arasındaki sürümlerde ve 8.3.3 sürümünde, ?vite-wasm-instance içeren bir istek ile server.fs ayarı dışındaki dosyaların ilk 4 baytı tarayıcıya döndürülebilmektedir. ?vite-wasm-instance sorgusu içeren istekler, dahili Wasm eklentisinin load kancası tarafından işlenmektedir. Bu kanca sorguyu kaldırır ve ortaya çıkan yolu doğrudan diskten okur, ancak server.fs kontrolleri uygulanmamaktadır. Dosya okunduktan sonra Vite, dosyayı WebAssembly olarak ayrıştırmaya çalışır. Bu ayrıştırma başarısız olduğunda Node ve deno, dosyanın ilk 4 baytını içeren bir hata fırlatır. Bu güvenlik açığı 8.2.4 ve 8.3.3 sürümlerinde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Vite is a frontend tooling framework for JavaScript. From 8.2.0 until 8.2.4 and 8.3.3, the first 4 bytes of files outside of server.fs setting can be returned to the browser by a request containing ?vite-wasm-instance. Requests containing the ?vite-wasm-instance query are handled by the internal Wasm plugin's load hook. The hook removes the query and reads the resulting path directly from disk, but the server.fs checks were not applied. After reading the file, Vite attempts to parse it as WebAssembly. When that parse fails, Node and deno throws an error that contains the first 4 bytes of the file. This vulnerability is fixed in 8.2.4 and 8.3.3.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| vitejs vite | Sürüm belirtilmemiş | – |
| vitejs vite-plus | Sürüm belirtilmemiş | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.