CVE-2023-34092
CVE-2023-34092 · Vite Server Options (server.fs.deny) can be bypassed using double forward-slash (//)
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Vite provides frontend tooling. Prior to versions 2.9.16, 3.2.7, 4.0.5, 4.1.5, 4.2.3, and 4.3.9, Vite Server Options (`server.fs.deny`) can be bypassed using double forward-slash (//) allows any unauthenticated user to read file from the Vite root-path of the application including the default `fs.deny` settings (`['.env', '.env.*', '*.{crt,pem}']`). Only users explicitly exposing the Vite dev server to the network (using `--host` or `server.host` config option) are affected, and only files in the immediate Vite project root folder could be exposed. This issue is fixed in [email protected], [email protected], [email protected], [email protected], [email protected], and [email protected].
CVSS 7.5 · Hoch · EPSS 3,2% · Öffentlicher Exploit · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: node
Betroffene Produkte und Versionen
vite
- Softwareversionen
- < 2.9.16: Betroffen
- >= 3.0.2, < 3.2.7: Betroffen
- >= 4.0.0, < 4.0.5: Betroffen
- >= 4.1.0, < 4.1.5: Betroffen
- >= 4.2.0, < 4.2.3: Betroffen
- >= 4.3.0, < 4.3.9: Betroffen
Keine Korrektur veröffentlicht
vite npm
- Betroffene Versionsbereiche
- SEMVER: < 2.9.16
Auf 2.9.16 aktualisieren
vite npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 3.0.2, < 3.2.7
Auf 3.2.7 aktualisieren
vite npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 4.0.0, < 4.0.5
Auf 4.0.5 aktualisieren
vite npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 4.1.0, < 4.1.5
Auf 4.1.5 aktualisieren
vite npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 4.2.0, < 4.2.3
Auf 4.2.3 aktualisieren
vite npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 4.3.0, < 4.3.9
Auf 4.3.9 aktualisieren