CVE-2025-62522
CVE-2025-62522 · vite allows server.fs.deny bypass via backslash on Windows
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Vite is a frontend tooling framework for JavaScript. In versions from 2.9.18 to before 3.0.0, 3.2.9 to before 4.0.0, 4.5.3 to before 5.0.0, 5.2.6 to before 5.4.21, 6.0.0 to before 6.4.1, 7.0.0 to before 7.0.8, and 7.1.0 to before 7.1.11, files denied by server.fs.deny were sent if the URL ended with \ when the dev server is running on Windows. Only apps explicitly exposing the Vite dev server to the network and running the dev server on Windows were affected. This issue has been patched in versions 5.4.21, 6.4.1, 7.0.8, and 7.1.11.
CVSS 6.0 · Moyenne · EPSS 1,1% · Code d’exploitation public · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: node
Produits et versions concernés
vite
- Versions du logiciel
- >= 7.1.0, < 7.1.11: Concernée
- >= 7.0.0, < 7.0.8: Concernée
- >= 6.0.0, < 6.4.1: Concernée
- >= 5.2.6, < 5.4.21: Concernée
- >= 4.5.3, < 5.0.0: Concernée
- >= 3.2.9, < 4.0.0: Concernée
- >= 2.9.18, < 3.0.0: Concernée
Aucun correctif publié
vite npm
- Plages de versions concernées
- SEMVER: ≥ 7.1.0, < 7.1.11
Mettez à jour vers 7.1.11
vite npm
- Plages de versions concernées
- SEMVER: ≥ 7.0.0, < 7.0.8
Mettez à jour vers 7.0.8
vite npm
- Plages de versions concernées
- SEMVER: ≥ 6.0.0, < 6.4.1
Mettez à jour vers 6.4.1
vite npm
- Plages de versions concernées
- SEMVER: ≥ 2.9.18, < 5.4.21
Mettez à jour vers 5.4.21
vite npm
- Plages de versions concernées
- SEMVER: ≥ 3.2.9, < 5.4.21
Mettez à jour vers 5.4.21
vite npm
- Plages de versions concernées
- SEMVER: ≥ 4.5.3, < 5.4.21
Mettez à jour vers 5.4.21
vite npm
- Plages de versions concernées
- SEMVER: ≥ 5.2.6, < 5.4.21
Mettez à jour vers 5.4.21