【误差通告】Vite Dev Server WebSocket 恣意文件读取误差(CVE-2026-39363)
宣布时间 2026-04-09一、误差概述
误差名称 | Vite Dev Server WebSocket 恣意文件读取误差 | ||
CVE ID | CVE-2026-39363 | ||
误差类型 | 恣意文件读取 | 发明时间 | 2026-4-9 |
误差评分 | 8.2 | 误差品级 | 高危 |
攻击向量 | 网络 | 所需权限 | 无 |
使用难度 | 低 | 用户交互 | 不需要 |
PoC/EXP | 已果真 | 在野使用 | 未发明 |
Vite是一个现代化的前端构建工具，， ，，，，旨在提供更快的开发体验 。。。。。它通过基于原生ES模� ？？？榈目⑿Ю推�，， ，，，，在开发历程中实现极速热更新（HMR） 。。。。。Vite在构建时使用了高度优化的打包工具，， ，，，，如esbuild，， ，，，，极大提高了构建速率 。。。。。它支持多种前端框架（如React、Vue）并可以通过插件扩展功效 。。。。。Vite的目的是简化前端开发事情流，， ，，，，并提升开发效率 。。。。。
2026年4月9日，， ，，，，918博天堂清静应急响应中心（VSRC）监测到Vite Dev Server WebSocket恣意文件读取误差 。。。。。该误差源于Vite dev server WebSocket袒露的fetchModule要领未准确执行server.fs会见控制检查，， ，，，，导致HTTP路径下原本受限的文件系统会见限制可被绕过 。。。。。攻击者在知足特定条件下，， ，，，，可通过结构vite:invoke WebSocket事务，， ，，，，并连系file://...与?raw或?inline参数，， ，，，，读取开发机、CI情形或容器中的恣意文件内容 。。。。。该问题可能导致源码、密钥、设置文件及情形变量泄露，， ，，，，进而引发进一步入侵、横向移动或供应链危害 。。。。。
二、影响规模
8.0.0 <= vite <= 8.0.4
7.0.0 <= vite <= 7.3.1
6.0.0 <= vite <= 6.4.1
vite-plus <= 0.1.15
三、清静步伐
3.1 升级版本
官方已宣布修复补丁，， ，，，，以修复该误差 。。。。。
vite >= 8.0.5
vite >= 7.3.2
vite >= 6.4.2
vite-plus >= 0.1.16
下载链接：https://github.com/vitejs/vite/releases/
3.2 暂时步伐
暂无 。。。。。
3.3 通用建议
? 按期更新系统补丁，， ，，，，镌汰系统误差，， ，，，，提升效劳器的清静性 。。。。。
? 增强系统和网络的会见控制，， ，，，，修改防火墙战略，， ，，，，关闭非须要的应用端口或效劳，， ，，，，镌汰将危险效劳（如SSH、RDP等）袒露到公网，， ，，，，镌汰攻击面 。。。。。
? 使用企业级清静产品，， ，，，，提升企业的网络清静性能 。。。。。
? 增强系统用户和权限治理，， ，，，，启用多因素认证机制和最小权限原则，， ，，，，用户和软件权限应坚持在最低限度 。。。。。
? 启用强密码战略并设置为按期修改 。。。。。
3.4 参考链接
https://nvd.nist.gov/vuln/detail/CVE-2026-39363/
京公网安备11010802024551号