جزئیات آسیب‌پذیری
CVE-2026-39363
Red Hat Ansible Automation Platform 2Red Hat Build of KeycloakRed Hat Build of Podman DesktopRed Hat Build of Podman Desktop - Tech PreviewRed Hat OpenShift Container Platform 4vitejs vite
Vite Affected by Arbitrary File Read via Vite Dev Server WebSocket
CVSS 4.0
8.2بالا
شرح رسمی (انگلیسی)
Vite is a frontend tooling framework for JavaScript. From 6.0.0 to before 6.4.2, 7.3.2, and 8.0.5, if it is possible to connect to the Vite dev server’s WebSocket without an Origin header, an attacker can invoke fetchModule via the custom WebSocket event vite:invoke and combine file://... with ?raw (or ?inline) to retrieve the contents of arbitrary files on the server as a JavaScript string (e.g., export default "..."). The access control enforced in the HTTP request path (such as server.fs.allow) is not applied to this WebSocket-based execution path. This vulnerability is fixed in 6.4.2, 7.3.2, and 8.0.5.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.2بالا | 4.0 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N |
| 7.5بالا | 3.1 | CVEProject cvelistV5 (CNA) (redhat-SADP) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| Red Hat | Red Hat Ansible Automation Platform 2 | همه | CVEProject cvelistV5 (CNA) |
| Red Hat | Red Hat Build of Keycloak | همه | CVEProject cvelistV5 (CNA) |
| Red Hat | Red Hat Build of Podman Desktop | همه | CVEProject cvelistV5 (CNA) |
| Red Hat | Red Hat Build of Podman Desktop | همه | CVEProject cvelistV5 (CNA) |
| Red Hat | Red Hat Build of Podman Desktop - Tech Preview | همه | CVEProject cvelistV5 (CNA) |
| Red Hat | Red Hat Build of Podman Desktop - Tech Preview | همه | CVEProject cvelistV5 (CNA) |
| Red Hat | Red Hat Build of Podman Desktop - Tech Preview | همه | CVEProject cvelistV5 (CNA) |
| Red Hat | Red Hat OpenShift Container Platform 4 | همه | CVEProject cvelistV5 (CNA) |
| vitejs | vite | >= 6.0.0, < 6.4.2 | CVEProject cvelistV5 (CNA) |
| vitejs | vite | >= 7.0.0, < 7.3.2 | CVEProject cvelistV5 (CNA) |
| vitejs | vite | >= 8.0.0, < 8.0.5 | CVEProject cvelistV5 (CNA) |
| vitejs | vite-plus | < 0.1.16 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۸- https://github.com/vitejs/vite/security/advisories/GHSA-p9ff-h696-f583 x_refsource_CONFIRM
- https://access.redhat.com/security/cve/CVE-2026-39363 vdb-entryx_refsource_REDHAT
- https://bugzilla.redhat.com/show_bug.cgi?id=2456179 issue-trackingx_refsource_REDHAT
- https://security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-39363.json x_sadp-csaf-vex
- https://access.redhat.com/errata/RHSA-2026:24761 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:24762 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:24866 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:59153 vendor-advisoryx_refsource_REDHAT
کانال تلگرام کُلون @kolunsec_fa
تازه‌های KEV، خبرهای مهم و خلاصه‌ی روزانه
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۱/۱۸
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۶/۰۳
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
۳٫۳۹٪
احتمال بهره‌برداری در ۳۰ روز
۸۸٫۸٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- بله
- وضعیت بهره‌برداری
- اثبات مفهوم
- اثر فنی
- جزئی
ضعف‌ها (CWE)
- CWE-200Exposure of Sensitive Information to an Unauthorized Actor
- CWE-306Missing Authentication for Critical Function
- CWE-1220Insufficient Granularity of Access Control