0x01 前言
Vite 是一个现代化的前端构建工具，旨在提供快速的开发服务器和优化的构建流程，广泛用于开发 JavaScript 和 TypeScript 的 Web 应用程序。攻击者可读取服务器上的敏感文件（如配置文件、密钥文件等），可能导致凭据泄露或其他安全风险。
0x02 漏洞等级
高危0x03 漏洞影响
6.2.0 <= vite < 6.2.36.1.0 <= vite < 6.1.26.0.0 <= vite < 6.0.125.0.0 <= vite < 5.4.15vite < 4.5.10
0x04 漏洞复现
body="/@vite/client"
EXP：
success
0x05 修复建议
官方已经发布修复补丁，请进行升级。
临时缓解方案如果暂时无法升级，可以采取以下措施降低风险：1. 限制网络访问：将 --host 或 server.host 设置为 localhost，确保开发服务器仅限本地访问。2. 严格文件权限：确保敏感文件不可被 Vite 进程读取（例如通过操作系统权限控制）。升级修复方案Vite 官方已发布安全补丁，修复版本包括：6.2.3、6.1.2、6.0.12、5.4.15、4.5.10请尽快通过 npm update vite 或手动升级到以上版本以修复漏洞。
原文始发于微信公众号（渗透Xiao白帽）：漏洞速递 | CVE-2025-30208 漏洞（附EXP）
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论