p PatchFirst

CVE-2026-112945

CVE-2026-112945 · Vite: Cross origin script execution through Vite custom middleware

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Vite is a frontend tooling framework for JavaScript. Prior to 6.4.4, 7.3.7, 8.1.6, 8.2.4, and 8.3.3, applications using custom middleware are vulnerable when they pass an unchanged browser request URL to server.transformIndexHtml. getHtmlFilename uses the query-bearing request URL to resolve an existing local file while preserving attacker-supplied leading slashes in the generated proxy module URL. If the transformed HTML contains an inline module script and a victim browser loads the crafted development-server page, the leading double slash makes the browser fetch and execute an attacker-controlled module in the Vite-served page. This execution can expose sensitive page data or permit critical actions available to the affected application. This issue is fixed in versions 6.4.4, 7.3.7, 8.1.6, 8.2.4, and 8.3.3.

CVSS 2.1 · Baja · EPSS 0,6% · Código de explotación público · Corrección disponible

Publicación
Actualización

Pila tecnológica: system · node

Productos y versiones afectados

  • vite

    Versiones
    • >= 8.3.0, < 8.3.3: Afectada
    • >= 8.2.0, < 8.2.4: Afectada
    • >= 8.0.0, < 8.1.6: Afectada
    • >= 7.0.0, < 7.3.7: Afectada
    • < 6.4.4: Afectada

    Sin corrección publicada

  • vite-plus

    Versiones
    • < 1.1.0: Afectada

    Sin corrección publicada

  • vite npm

    Intervalos de versiones afectados
    • SEMVER: ≥ 8.3.0, < 8.3.3

    Actualiza a 8.3.3

  • vite npm

    Intervalos de versiones afectados
    • SEMVER: ≥ 8.2.0, < 8.2.4

    Actualiza a 8.2.4

  • vite npm

    Intervalos de versiones afectados
    • SEMVER: ≥ 8.0.0, < 8.1.6

    Actualiza a 8.1.6

  • vite npm

    Intervalos de versiones afectados
    • SEMVER: ≥ 7.0.0, < 7.3.7

    Actualiza a 7.3.7

  • vite npm

    Intervalos de versiones afectados
    • SEMVER: < 6.4.4

    Actualiza a 6.4.4

  • vite-plus npm

    Intervalos de versiones afectados
    • SEMVER: < 1.1.0

    Actualiza a 1.1.0

  • vite Ubuntu:16.04:LTS

    Versiones
    • 1.2+svn1430-2
    • 1.2+svn1430-3
    • 1.2+svn1430-4
    • 1.2+svn1430-5
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • vite Ubuntu:18.04:LTS

    Versiones
    • 1.2+svn1430-5
    • 1.2+svn1430-6
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • vite Ubuntu:20.04:LTS

    Versiones
    • 1.2+svn1430-6
    • 1.2+svn1430-6build1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • vite Ubuntu:22.04:LTS

    Versiones
    • 1.2+svn+git4.c6c0ce7-3
    • 1.2+svn+git4.c6c0ce7-4
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • vite Ubuntu:24.04:LTS

    Versiones
    • 1.2+svn+git4.c6c0ce7-8
    • 1.2+svn+git4.c6c0ce7-8build1
    • 1.2+svn+git4.c6c0ce7-8build2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • vite Ubuntu:26.10

    Versiones
    • 1.4-6
    • 1.4-6build1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • vite Ubuntu:26.04:LTS

    Versiones
    • 1.4-1
    • 1.4-5
    • 1.4-5build1
    • 1.4-6
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →