CVE-2026-112946
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Vite to framework narzędzi frontendowych dla JavaScript. W wersjach wcześniejszych niż 6.4.4, 7.3.7, 8.1.6, 8.2.4 i 8.3.3 analiza importu może rejestrować adres URL przeglądarki względny dla katalogu głównego w SafeModulePaths zamiast wyczyszczonego rozpoznanego identyfikatora modułu. Na dostępnym w sieci serwerze programistycznym innym niż Windows zaimportowany plik projektu, którego adres URL odpowiada bezwzględnej ścieżce hosta, może autoryzować późniejsze żądanie nieprzetworzonego systemu plików dotyczące tego pliku hosta, pod warunkiem, że funkcja server.fs.deny tego nie blokuje. Żądanie może ujawnić pasujący plik poza katalogiem głównym projektu, ale nie pozwala na dowolne przejście ścieżki, ponieważ ścieżka hosta musi odpowiadać adresowi URL powiązanemu z projektem autoryzowanemu przez wykres aplikacji. Ten problem został rozwiązany w wersjach 6.4.4, 7.3.7, 8.1.6, 8.2.4 i 8.3.3.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/vitejs/vite/commit/170b92791421bcd484f7325936d989a82d6bd4aa
- https://github.com/vitejs/vite/commit/45c0e3392a298626955a0ab93a8e51232daac721
- https://github.com/vitejs/vite/commit/c3e06f92e969952466b4e2f5801e85e1e00cd905
- https://github.com/vitejs/vite/commit/e570d8d016096b5f8f6f09808376ca6cf73f27d0
- https://github.com/vitejs/vite/commit/f0d76c7da13d5e794807b82f0b86c1931a8438e3
- https://github.com/vitejs/vite/pull/23656
- https://github.com/vitejs/vite/security/advisories/GHSA-rq7h-c2jc-7f22
- https://github.com/vitejs/vite/security/advisories/GHSA-rq7h-c2jc-7f22
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org