【已复现】Vite 文件读取漏洞(CVE-2025-32395)(已经出了四个CVE了！！！！)

↑点击关注，获取更多漏洞预警，技术分享

0x01 组件介绍

   Vite 是一款现代化的前端开发构建工具，它提供了快速的开发服务器和高效的构建能力，广泛应用于 Vue.js 项目的开发过程中。

fofa语句：body="/@vite/client"

0x02 漏洞描述近日，Vite官方修复了Vite 任意文件读取漏洞(CVE-2025-32395)，该漏洞源于 Vite 开发服务器在处理特定 URL 请求时，没有对请求的路径进行严格的安全检查和限制，导致攻击者可以绕过保护机制，未授权访问项目根目录外的敏感文件。

0x04 漏洞验证

目前POC/EXP已经公开（后台留言回复：CVE-2025-32395，获取测试POC）

概念性验证：

发送数据包，出现下面的即可证明漏洞存在

由于python发包原因，payload中出现的路径/#/，使用常规的request发包模块时发包时会被截断，所以发出去的路径最后都会变成"/@fs/root/vite-project/ "导致无法完成利用，所以在测试时候得用bp直接发包（要知道vite-project的绝对路径可以进行利用）

在写脚本的时候，尝试了多次都不能够通过python request模块来完成使用脚本测试的情况，最后想到了可以用socket模块来完成，效果如下

0x05 漏洞影响

由于该漏洞影响范围较广，危害较大。通过以上复现过程，我们可以知道该漏洞的利用过程比较简单，可以读取任意文件。企业应该尽快排查是否有使用该组件，并尽快做出对应措施。如果已经通过升级版本修复了CVE-2025-31486,CVE-2025-30208,CVE-2025-31125的还需要再进行一次版本升级，如果是通过自定义waf规则进行防护的需要新增相关的防护规则进行拦截

0x06 修复建议

目前官方已有可更新版本，建议受影响用户升级至最新版本

官方补丁下载地址：https://github.com/vitejs/vite/releases

Vite >= 6.2.6

Vite >= 6.1.5

Vite >= 6.0.15

Vite >= 5.4.18

Vite >= 4.5.13

0X07 参考链接

https://github.com/vitejs/vite/security/advisories/GHSA-356w-63v5-8wf4

0x08 免责声明> 本文所涉及的任何技术、信息或工具，仅供学习和参考之用。> 请勿利用本文提供的信息从事任何违法活动或不当行为。任何因使用本文所提供的信息或工具而导致的损失、后果或不良影响，均由使用者个人承担责任，与本文作者无关。> 作者不对任何因使用本文信息或工具而产生的损失或后果承担任何责任。使用本文所提供的信息或工具即视为同意本免责声明，并承诺遵守相关法律法规和道德规范。

原文始发于微信公众号（安全探索者）：【已复现】Vite 文件读取漏洞(CVE-2025-32395)(已经出了四个CVE了！！！！)