Vite: クエリによって `server.fs.deny` が回避される

この脆弱性は、Vite devサーバーをネットワークに公開しているアプリケーションに深刻な影響を与える可能性があります。攻撃者は、server.fs.denyで指定されたはずの機密ファイル（設定ファイル、APIキーなど）の内容を盗み出すことが可能です。これにより、アプリケーションの機密情報が漏洩し、不正アクセスやデータ改ざんにつながる可能性があります。特に、server.fs.allowで許可されたディレクトリ内に脆弱なファイルが存在する場合、攻撃の影響は拡大します。この脆弱性は、類似のファイル公開の脆弱性と同様に、機密情報の漏洩という深刻な結果をもたらす可能性があります。

Development teams using Vite in projects where the development server is inadvertently exposed to the network are at risk. This includes developers using shared hosting environments or those who have not properly configured their Vite server settings. Projects relying on Vite for local development and testing are also vulnerable if the server is accessible from outside the development environment.

• nodejs: Monitor process arguments for --host or --port to identify exposed Vite development servers.

ps aux | grep 'node --host' || ps aux | grep 'node --port'

• nodejs: Check for unusual file access patterns within the Vite project directory, particularly targeting files denied by server.fs.deny.

find . -type f -mtime -1 -print0 | xargs -0 ls -l

• generic web: Monitor access logs for requests targeting files within the Vite project directory, especially those that should be denied. • generic web: Inspect response headers for unexpected content types or file extensions when accessing files within the Vite project directory.

1. 2026-04-06Disclosure

   disclosure

1. 予約済み2026-04-06
2. 公開日2026-04-06
3. 更新日2026-04-09
4. EPSS 更新日2026-04-15

この脆弱性への対応策として、まずViteをバージョン8.0.5以降にアップデートすることを推奨します。アップデートが困難な場合は、Vite devサーバーをネットワークに公開しないように設定するか、server.hostオプションを使用しないようにしてください。また、WAFやプロキシサーバーを使用して、不正なファイルアクセスを検知・遮断することも有効です。server.fs.denyの設定を適切に行い、不要なファイルへのアクセスを制限することも重要です。アップデート後、server.fs.denyの設定が正しく機能していることを確認してください。