【缝隙公告】Vite Dev Server WebSocket 肆意文件读取缝隙(CVE-2026-39363)

颁布功夫 2026-04-09

一、缝隙概述


缝隙名称

Vite Dev Server WebSocket 肆意文件读取缝隙

CVE   ID

CVE-2026-39363

缝隙类型

肆意文件读取

发现功夫

2026-4-9

缝隙评分

8.2

缝隙等级

高危

攻击向量

网络

所需权限

无

利用难度

低

用户交互

不必要

PoC/EXP

已公开

在野利用

未发现


Vite是一个现代化的前端构建工具，，，旨在提供更快的开发履历。。。它通过基于原生ES模块的开发服务器，，，在开发过程中实现极速热更新（HMR）。。。Vite在构建时使用了高度优化的打包工具，，，如esbuild，，，极大提高了构建速度。。。它支持多种前端框架（如React、Vue）并能够通过插件扩大职能。。。Vite的指标是简化前端开发工作流，，，并提升开发效能。。。


2026年4月9日，，，OG东方厅安全应急响应中心（VSRC）监测到Vite Dev Server WebSocket肆意文件读取缝隙。。。该缝隙源于Vite dev server WebSocket露出的fetchModule步骤未正确执行server.fs接见节制查抄，，，导致HTTP蹊径下正本受限的文件系统接见限度可被绕过。。。攻击者在满足特定前提下，，，可通过机关vite:invoke WebSocket事务，，，并结合file://...与?raw或?inline参数，，，读取开发机、CI环境或容器中的肆意文件内容。。。该问题可能导致源码、密钥、配置文件及环境变量泄露，，，进而引发进一步入侵、横向移动或供给链风险。。。


二、影响领域


8.0.0 <= vite <= 8.0.4

7.0.0 <= vite <= 7.3.1

6.0.0 <= vite <= 6.4.1

vite-plus <= 0.1.15


三、安全措施


3.1 升级版本


官方已颁布修复补丁，，，以修复该缝隙。。。

vite >= 8.0.5

vite >= 7.3.2

vite >= 6.4.2

vite-plus >= 0.1.16


下载链接 ：：：https://github.com/vitejs/vite/releases/


3.2 一时措施


暂无。。。


3.3 通用建议


? 定期更新系统补丁，，，削减系统缝隙，，，提升服务器的安全性。。。

? 加强系统和网络的接见节制，，，批改防火墙战术，，，关闭非必要的利用端口或服务，，，削减将危险服务（如SSH、RDP等）露出到公网，，，削减攻击面。。。

? 使用企业级安全产品，，，提升企业的网络安全机能。。。

? 加强系统用户和权限治理，，，启用多成分认证机制和最小权限准则，，，用户和软件权限应维持在最低限度。。。

? 启用强密码战术并设置为定期批改。。。


3.4 参考链接


https://nvd.nist.gov/vuln/detail/CVE-2026-39363/

https://github.com/vitejs/vite/security/advisories/GHSA-p9ff-h696-f583