【误差通告】Vite Dev Server WebSocket 恣意文件读取误差(CVE-2026-39363)
宣布时间 2026-04-09一、误差概述
误差名称 | Vite Dev Server WebSocket 恣意文件读取误差 | ||
CVE ID | CVE-2026-39363 | ||
误差类型 | 恣意文件读取 | 发明时间 | 2026-4-9 |
误差评分 | 8.2 | 误差品级 | 高危 |
攻击向量 | 网络 | 所需权限 | 无 |
使用难度 | 低 | 用户交互 | 不需要 |
PoC/EXP | 已果真 | 在野使用 | 未发明 |
Vite是一个现代化的前端构建工具，，，， ，，旨在提供更快的开发体验。。。 。。它通过基于原生ES�？？？？？榈目⑿Ю推�，，，， ，，在开发历程中实现极速热更新（HMR）。。。 。。Vite在构建时使用了高度优化的打包工具，，，， ，，如esbuild，，，， ，，极大提高了构建速率。。。 。。它支持多种前端框架（如React、Vue）并可以通过插件扩展功效。。。 。。Vite的目的是简化前端开发事情流，，，， ，，并提升开发效率。。。 。。
2026年4月9日，，，， ，，鉴黑担保网清静应急响应中心（VSRC）监测到Vite Dev Server WebSocket恣意文件读取误差。。。 。。该误差源于Vite dev server WebSocket袒露的fetchModule要领未准确执行server.fs会见控制检查，，，， ，，导致HTTP路径下原本受限的文件系统会见限制可被绕过。。。 。。攻击者在知足特定条件下，，，， ，，可通过结构vite:invoke WebSocket事务，，，， ，，并连系file://...与?raw或?inline参数，，，， ，，读取开发机、CI情形或容器中的恣意文件内容。。。 。。该问题可能导致源码、密钥、设置文件及情形变量泄露，，，， ，，进而引发进一步入侵、横向移动或供应链危害。。。 。。
二、影响规模
8.0.0 <= vite <= 8.0.4
7.0.0 <= vite <= 7.3.1
6.0.0 <= vite <= 6.4.1
vite-plus <= 0.1.15
三、清静步伐
3.1 升级版本
官方已宣布修复补丁，，，， ，，以修复该误差。。。 。。
vite >= 8.0.5
vite >= 7.3.2
vite >= 6.4.2
vite-plus >= 0.1.16
下载链接：https://github.com/vitejs/vite/releases/
3.2 暂时步伐
暂无。。。 。。
3.3 通用建议
? 按期更新系统补丁，，，， ，，镌汰系统误差，，，， ，，提升效劳器的清静性。。。 。。
? 增强系统和网络的会见控制，，，， ，，修改防火墙战略，，，， ，，关闭非须要的应用端口或效劳，，，， ，，镌汰将危险效劳（如SSH、RDP等）袒露到公网，，，， ，，镌汰攻击面。。。 。。
? 使用企业级清静产品，，，， ，，提升企业的网络清静性能。。。 。。
? 增强系统用户和权限治理，，，， ，，启用多因素认证机制和最小权限原则，，，， ，，用户和软件权限应坚持在最低限度。。。 。。
? 启用强密码战略并设置为按期修改。。。 。。
3.4 参考链接
https://nvd.nist.gov/vuln/detail/CVE-2026-39363/
京公网安备11010802024551号