Vite पाथ ट्रैवर्सल के लिए असुरक्षित है अनुकूलित Deps `.map` हैंडलिंग में

Vite में CVE-2026-39365, 6.0.0 से 6.4.2 से पहले के संस्करणों, 7.3.2 और 8.0.5 को प्रभावित करता है। यह एक हमलावर को Vite के विकास सर्वर के server.fs.strict अनुमति सूची को बायपास करने की अनुमति देता है। यह .map (स्रोत मानचित्र) फ़ाइल अनुरोधों में हेरफेर करके, परियोजना के रूट निर्देशिका के बाहर फ़ाइलों तक पहुंचने के द्वारा प्राप्त किया जाता है। प्रभावित संस्करणों में, Vite विकास सर्वर .map अनुरोधों में फ़ाइल पथों को सही ढंग से मान्य नहीं करता है, जिससे ../ अनुक्रमों का उपयोग करके अपेक्षित निर्देशिका के बाहर नेविगेट करने की अनुमति मिलती है। यदि हमलावर एक वैध पथ प्रदान कर सकता है जो एक बाहरी .map फ़ाइल की ओर इशारा करता है, और वह वैध JSON है, तो वे उस तक पहुंच सकते हैं। मुख्य प्रभाव स्रोत मानचित्र फ़ाइलों में निहित संवेदनशील जानकारी का संभावित प्रकटीकरण है, हालांकि इस जानकारी की उपयोगिता स्रोत कोड की प्रकृति और पर्यावरण की सुरक्षा कॉन्फ़िगरेशन पर निर्भर करती है।

1. आरक्षित2026-04-06
2. प्रकाशित2026-04-07
3. संशोधित2026-04-15
4. EPSS अद्यतन2026-04-15

इस भेद्यता को कम करने के लिए, Vite को 6.4.2, 7.3.2 या 8.0.5 में अपडेट करने की अनुशंसा की जाती है। इन संस्करणों में एक फिक्स शामिल है जो .map अनुरोधों में फ़ाइल पथों को सही ढंग से मान्य करता है, जिससे बाहरी फ़ाइलों तक अनधिकृत पहुंच को रोका जा सकता है। इसके अतिरिक्त, server.fs.strict कॉन्फ़िगरेशन की जांच करें ताकि यह सुनिश्चित हो सके कि केवल आवश्यक निर्देशिकाओं की अनुमति है। यदि तत्काल अपडेट संभव नहीं है, तो विकास सर्वर तक पहुंच को एक विश्वसनीय आंतरिक नेटवर्क तक सीमित करने पर विचार करें, हालांकि यह अंतर्निहित भेद्यता को समाप्त नहीं करता है। संभावित हमलों से खुद को बचाने के लिए जल्द से जल्द अपडेट लागू करना महत्वपूर्ण है।

अंतिम अपडेट

8.0.14हाल ही में