p PatchFirst

CVE-2025-58751

CVE-2025-58751 · Vite middleware may serve files starting with the same name with the public directory

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Vite is a frontend tooling framework for JavaScript. Prior to versions 7.1.5, 7.0.7, 6.3.6, and 5.4.20, files starting with the same name with the public directory were served bypassing the `server.fs` settings. Only apps that explicitly expose the Vite dev server to the network (using --host or `server.host` config option), use the public directory feature (enabled by default), and have a symlink in the public directory are affected. Versions 7.1.5, 7.0.7, 6.3.6, and 5.4.20 fix the issue.

CVSS 2.3 · Baja · EPSS 1,2% · Código de explotación público · Corrección disponible

Publicación
Actualización

Pila tecnológica: node

Productos y versiones afectados

  • vite

    Versiones
    • < 5.4.20: Afectada
    • >= 6.0.0, < 6.3.6: Afectada
    • >= 7.0.0, < 7.0.7: Afectada
    • >= 7.1.0, < 7.1.5: Afectada

    Sin corrección publicada

  • vite npm

    Intervalos de versiones afectados
    • SEMVER: ≥ 7.1.0, < 7.1.5

    Actualiza a 7.1.5

  • vite npm

    Intervalos de versiones afectados
    • SEMVER: ≥ 7.0.0, < 7.0.7

    Actualiza a 7.0.7

  • vite npm

    Intervalos de versiones afectados
    • SEMVER: ≥ 6.0.0, < 6.3.6

    Actualiza a 6.3.6

  • vite npm

    Intervalos de versiones afectados
    • SEMVER: < 5.4.20

    Actualiza a 5.4.20

Fuentes originales

Comprueba tu servidor →