【误差通告】Vite Dev Server WebSocket 恣意文件读取误差(CVE-2026-39363)
宣布时间 2026-04-09一、误差概述
误差名称 | Vite Dev Server WebSocket 恣意文件读取误差 | ||
CVE ID | CVE-2026-39363 | ||
误差类型 | 恣意文件读取 | 发明时间 | 2026-4-9 |
误差评分 | 8.2 | 误差品级 | 高危 |
攻击向量 | 网络 | 所需权限 | 无 |
使用难度 | 低 | 用户交互 | 不需要 |
PoC/EXP | 已果真 | 在野使用 | 未发明 |
Vite是一个现代化的前端构建工具，旨在提供更快的开发体验 。它通过基于原生ES� ？榈目⒎衿�，在开发历程中实现极速热更新（HMR） 。Vite在构建时使用了高度优化的打包工具，如esbuild，极大提高了构建速率 。它支持多种前端框架（如React、Vue）并可以通过插件扩展功效 。Vite的目的是简化前端开发事情流，并提升开发效率 。
2026年4月9日，尊龙凯时清静应急响应中心（VSRC）监测到Vite Dev Server WebSocket恣意文件读取误差 。该误差源于Vite dev server WebSocket袒露的fetchModule要领未准确执行server.fs会见控制检查，导致HTTP路径下原本受限的文件系统会见限制可被绕过 。攻击者在知足特定条件下，可通过结构vite:invoke WebSocket事务，并团结file://...与?raw或?inline参数，读取开发机、CI情形或容器中的恣意文件内容 。该问题可能导致源码、密钥、设置文件及情形变量泄露，进而引发进一步入侵、横向移动或供应链危害 。
二、影响规模
8.0.0 <= vite <= 8.0.4
7.0.0 <= vite <= 7.3.1
6.0.0 <= vite <= 6.4.1
vite-plus <= 0.1.15
三、清静步伐
3.1 升级版本
官方已宣布修复补丁，以修复该误差 。
vite >= 8.0.5
vite >= 7.3.2
vite >= 6.4.2
vite-plus >= 0.1.16
下载链接：https://github.com/vitejs/vite/releases/
3.2 暂时步伐
暂无 。
3.3 通用建议
? 按期更新系统补丁，镌汰系统误差，提升服务器的清静性 。
? 增强系统和网络的会见控制，修改防火墙战略，关闭非须要的应用端口或服务，镌汰将危险服务（如SSH、RDP等）袒露到公网，镌汰攻击面 。
? 使用企业级清静产品，提升企业的网络清静性能 。
? 增强系统用户和权限治理，启用多因素认证机制和最小权限原则，用户和软件权限应坚持在最低限度 。
? 启用强密码战略并设置为按期修改 。
3.4 参考链接
https://nvd.nist.gov/vuln/detail/CVE-2026-39363/
京公网安备11010802024551号