جزئیات آسیب‌پذیری
CVE-2025-31125
بهره‌برداری فعال
vitejs vite
Vite has a `server.fs.deny` bypassed for `inline` and `raw` with `?import` query
CVSS 3.1
5.3متوسط
شرح رسمی (انگلیسی)
Vite is a frontend tooling framework for javascript. Vite exposes content of non-allowed files using ?inline&import or ?raw?import. Only apps explicitly exposing the Vite dev server to the network (using --host or server.host config option) are affected. This vulnerability is fixed in 6.2.4, 6.1.3, 6.0.13, 5.4.16, and 4.5.11.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 5.3متوسط | 3.1 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| vitejs | vite | < 4.5.11 | CVEProject cvelistV5 (CNA) |
| vitejs | vite | >= 5.0.0, < 5.4.16 | CVEProject cvelistV5 (CNA) |
| vitejs | vite | >= 6.0.0, < 6.0.13 | CVEProject cvelistV5 (CNA) |
| vitejs | vite | >= 6.1.0, < 6.1.3 | CVEProject cvelistV5 (CNA) |
| vitejs | vite | >= 6.2.0, < 6.2.4 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۳- https://github.com/vitejs/vite/commit/59673137c45ac2bcfad1170d954347c1a17ab949 x_refsource_MISC
- https://github.com/vitejs/vite/security/advisories/GHSA-4r4m-qw57-chr8 x_refsource_CONFIRM
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-31125 government-resource
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۴/۰۱/۱۱
- آخرین به‌روزرسانی
- ۱۴۰۴/۱۱/۰۳
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
فهرست KEV آژانس CISA
- تاریخ افزوده‌شدن
- ۱۴۰۴/۱۱/۰۲
- مهلت رفع
- ۱۴۰۴/۱۱/۲۳
- استفاده در باج‌افزار
- نامشخص
پیش‌بینی بهره‌برداری (EPSS)
۷۴٫۹۳٪
احتمال بهره‌برداری در ۳۰ روز
۹۹٫۵٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- فعال
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-200Exposure of Sensitive Information to an Unauthorized Actor
- CWE-284Improper Access Control