Vite: `server.fs.deny` bypassed with queries

Özet

Türkçe özeti henüz hazır değil; şimdilik kaynağın kendi açıklamasını gösteriyoruz.

Vite is a frontend tooling framework for JavaScript. From 6.4.4 until 6.4.5, the Vite development server can evaluate server.fs.deny before stripping loader query parameters such as ?raw, ?import&raw, or ?import&url&inline. When the development server is exposed to the network and a sensitive file is inside server.fs.allow but matched by server.fs.deny, an unauthenticated attacker can append one of these queries and retrieve the denied file. This issue is fixed in version 6.4.5.

Etkilenen sürümler1 yazılım

Kaynaklar7 kaynak

• CVE.org kaydı
• NVD kaydı
• github.com/…s/vite/security/advisories/GHSA-8g5g-mxqh-grgj Diğer
• github.com/vitejs/vite/pull/22160 Diğer
• github.com/vitejs/vite/pull/23855 Diğer
• github.com/…ommit/91e40d7bf9777057bbd31c3eb036a54c9465697e Diğer
• github.com/vitejs/vite/releases/tag/v6.4.5 Diğer

Kayıt geçmişi

1. 28 Eki 2026 23:33Yayımlandı

İlgili açıklar

• 6,3 CVE-2026-112947Vite'ta ?vite-wasm-instance sorgusu ile server.fs dışındaki dosyaların ilk 4 baytı açığa çıkabiliyor
• 6,3 CVE-2026-112946Vite'ta proje yollarının sistem yollarıyla çakıştığı durumda sunucu dışı dosyaların erişilebilmesi
• 2,1 CVE-2026-112945Vite özel ara katmanında (middleware) çapraz kaynaklı betik çalıştırma açığı
• 6,3 CVE-2026-112944launch-editor'da düzenleyici CLI bayrakları yanlış yorumlanıyor, bazı editörlerde keyfi komut çalıştırılabiliyor
• 6,3 CVE-2026-112943launch-editor: Windows'ta escapeCmdArgs fonksiyonu % karakterini kaçışlamıyor
• 7,5 CVE-2026-112942launch-editor, Windows'ta fs.existsSync varlık denetimi atlatılabiliyor