【已复现】Vite 文件读取漏洞CVE-2025-31486(CVE-2025-31125,CVE-2025-30208的绕过)

↑点击关注，获取更多漏洞预警，技术分享

0x01 组件介绍

   Vite 是一款现代化的前端开发构建工具，它提供了快速的开发服务器和高效的构建能力，广泛应用于 Vue.js 项目的开发过程中。

fofa语句：body="/@vite/client"

0x02 漏洞描述近日，Vite官方修复了Vite 任意文件读取漏洞(CVE-2025-31486)，该漏洞源于 Vite 开发服务器在处理特定 URL 请求时，没有对请求的路径进行严格的安全检查和限制，导致攻击者可以绕过保护机制，未授权访问项目根目录外的敏感文件。此漏洞为CVE-2025-31486，是针对CVE-2025-31125,CVE-2025-30208的绕过。

0x04 漏洞验证

目前POC/EXP已经公开

概念性验证：

发送数据包，出现下面的即可证明漏洞存在（后台留言回复：CVE-2025-31486，获取测试POC）

对同一个靶机使用CVE-2025-30208，CVE-2025-31125payload

使用CVE-2025-31486 paylaod(有两种方式)

方式1：

方式2：

0x05 漏洞影响

由于该漏洞影响范围较广，危害较大。通过以上复现过程，我们可以知道该漏洞的利用过程比较简单，可以读取任意文件。企业应该尽快排查是否有使用该组件，并尽快做出对应措施。如果已经通过升级版本修复了CVE-2025-30208,CVE-2025-31125的还需要再进行一次版本升级，如果是通过自定义waf规则进行防护的需要新增相关的防护规则进行拦截

0x06 修复建议

目前官方已有可更新版本，建议受影响用户升级至最新版本

官方补丁下载地址：https://github.com/vitejs/vite/releases

Vite >= 6.2.5

Vite >= 6.1.4

Vite >= 6.0.14

Vite >= 5.4.17

Vite >= 4.5.12

0X07 参考链接

https://github.com/vitejs/vite/security/advisories/GHSA-xcj6-pq6g-qj4x

0x08 免责声明> 本文所涉及的任何技术、信息或工具，仅供学习和参考之用。> 请勿利用本文提供的信息从事任何违法活动或不当行为。任何因使用本文所提供的信息或工具而导致的损失、后果或不良影响，均由使用者个人承担责任，与本文作者无关。> 作者不对任何因使用本文信息或工具而产生的损失或后果承担任何责任。使用本文所提供的信息或工具即视为同意本免责声明，并承诺遵守相关法律法规和道德规范。

原文始发于微信公众号（安全探索者）：【已复现】Vite 文件读取漏洞CVE-2025-31486(CVE-2025-31125,CVE-2025-30208的绕过)