p PatchFirst

CVE-2026-112945

CVE-2026-112945 · Vite: Cross origin script execution through Vite custom middleware

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Vite is a frontend tooling framework for JavaScript. Prior to 6.4.4, 7.3.7, 8.1.6, 8.2.4, and 8.3.3, applications using custom middleware are vulnerable when they pass an unchanged browser request URL to server.transformIndexHtml. getHtmlFilename uses the query-bearing request URL to resolve an existing local file while preserving attacker-supplied leading slashes in the generated proxy module URL. If the transformed HTML contains an inline module script and a victim browser loads the crafted development-server page, the leading double slash makes the browser fetch and execute an attacker-controlled module in the Vite-served page. This execution can expose sensitive page data or permit critical actions available to the affected application. This issue is fixed in versions 6.4.4, 7.3.7, 8.1.6, 8.2.4, and 8.3.3.

CVSS 2.1 · Faible · EPSS 0,6% · Code d’exploitation public · Correctif disponible

Publication
Mise à jour

Pile logicielle: system · node

Produits et versions concernés

  • vite

    Versions du logiciel
    • >= 8.3.0, < 8.3.3: Concernée
    • >= 8.2.0, < 8.2.4: Concernée
    • >= 8.0.0, < 8.1.6: Concernée
    • >= 7.0.0, < 7.3.7: Concernée
    • < 6.4.4: Concernée

    Aucun correctif publié

  • vite-plus

    Versions du logiciel
    • < 1.1.0: Concernée

    Aucun correctif publié

  • vite npm

    Plages de versions concernées
    • SEMVER: ≥ 8.3.0, < 8.3.3

    Mettez à jour vers 8.3.3

  • vite npm

    Plages de versions concernées
    • SEMVER: ≥ 8.2.0, < 8.2.4

    Mettez à jour vers 8.2.4

  • vite npm

    Plages de versions concernées
    • SEMVER: ≥ 8.0.0, < 8.1.6

    Mettez à jour vers 8.1.6

  • vite npm

    Plages de versions concernées
    • SEMVER: ≥ 7.0.0, < 7.3.7

    Mettez à jour vers 7.3.7

  • vite npm

    Plages de versions concernées
    • SEMVER: < 6.4.4

    Mettez à jour vers 6.4.4

  • vite-plus npm

    Plages de versions concernées
    • SEMVER: < 1.1.0

    Mettez à jour vers 1.1.0

  • vite Ubuntu:16.04:LTS

    Versions du logiciel
    • 1.2+svn1430-2
    • 1.2+svn1430-3
    • 1.2+svn1430-4
    • 1.2+svn1430-5
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • vite Ubuntu:18.04:LTS

    Versions du logiciel
    • 1.2+svn1430-5
    • 1.2+svn1430-6
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • vite Ubuntu:20.04:LTS

    Versions du logiciel
    • 1.2+svn1430-6
    • 1.2+svn1430-6build1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • vite Ubuntu:22.04:LTS

    Versions du logiciel
    • 1.2+svn+git4.c6c0ce7-3
    • 1.2+svn+git4.c6c0ce7-4
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • vite Ubuntu:24.04:LTS

    Versions du logiciel
    • 1.2+svn+git4.c6c0ce7-8
    • 1.2+svn+git4.c6c0ce7-8build1
    • 1.2+svn+git4.c6c0ce7-8build2
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • vite Ubuntu:26.10

    Versions du logiciel
    • 1.4-6
    • 1.4-6build1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • vite Ubuntu:26.04:LTS

    Versions du logiciel
    • 1.4-1
    • 1.4-5
    • 1.4-5build1
    • 1.4-6
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →