CVE-2026-39364Vite前端工具框架在特定版本中存在安全漏洞。在Vite开发服务器运行时，攻击者可以通过在请求URL中附加特定查询参数（如?raw、?import&raw等），绕过server.fs.deny配置的文件访问限制。这使得原本被阻止的敏感文件（如.env环境变量文件、证书文件）能够通过HTTP 200响应被非法获取，导致严重的信息泄露风险。
该漏洞源于Vite开发服务器处理特定查询参数时的逻辑缺陷。Vite配置中通常使用server.fs.deny来限制对敏感文件（如.env、.pem等）的访问。然而，在受影响版本中，当请求带有?raw、?import&raw或?import&url&inline等参数时，服务器会优先处理这些转换指令，而绕过了正常的文件系统访问控制检查（fs.deny）。攻击者无需认证，只需构造包含这些参数的URL向开发服务器发起请求，即可强制服务器返回目标敏感文件的原始内容。由于开发服务器通常在本地或内网运行，且常包含数据库密码、API密钥等高敏感信息，该漏洞可能导致开发环境被渗透。