CVE-2023-34092
CVE-2023-34092 · Vite Server Options (server.fs.deny) can be bypassed using double forward-slash (//)
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Vite provides frontend tooling. Prior to versions 2.9.16, 3.2.7, 4.0.5, 4.1.5, 4.2.3, and 4.3.9, Vite Server Options (`server.fs.deny`) can be bypassed using double forward-slash (//) allows any unauthenticated user to read file from the Vite root-path of the application including the default `fs.deny` settings (`['.env', '.env.*', '*.{crt,pem}']`). Only users explicitly exposing the Vite dev server to the network (using `--host` or `server.host` config option) are affected, and only files in the immediate Vite project root folder could be exposed. This issue is fixed in [email protected], [email protected], [email protected], [email protected], [email protected], and [email protected].
CVSS 7.5 · Alta · EPSS 3,2% · Código de explotación público · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: node
Productos y versiones afectados
vite
- Versiones
- < 2.9.16: Afectada
- >= 3.0.2, < 3.2.7: Afectada
- >= 4.0.0, < 4.0.5: Afectada
- >= 4.1.0, < 4.1.5: Afectada
- >= 4.2.0, < 4.2.3: Afectada
- >= 4.3.0, < 4.3.9: Afectada
Sin corrección publicada
vite npm
- Intervalos de versiones afectados
- SEMVER: < 2.9.16
Actualiza a 2.9.16
vite npm
- Intervalos de versiones afectados
- SEMVER: ≥ 3.0.2, < 3.2.7
Actualiza a 3.2.7
vite npm
- Intervalos de versiones afectados
- SEMVER: ≥ 4.0.0, < 4.0.5
Actualiza a 4.0.5
vite npm
- Intervalos de versiones afectados
- SEMVER: ≥ 4.1.0, < 4.1.5
Actualiza a 4.1.5
vite npm
- Intervalos de versiones afectados
- SEMVER: ≥ 4.2.0, < 4.2.3
Actualiza a 4.2.3
vite npm
- Intervalos de versiones afectados
- SEMVER: ≥ 4.3.0, < 4.3.9
Actualiza a 4.3.9