Vite 开发服务器路径遍历漏洞（CVE-2025-30208）
{{ getUsernameByUid(15309) }}
发布{{ getTimeInfo('2025-03-27 08:04:50') }}
#0
{{ getUsernameByUid(15309) }}
发布{{ getTimeInfo('2025-03-27 08:04:50') }}
#0
描述
前端构建工具 Vite 在 6.2.3 、6.1.2 、6.0.12 、5.4.15 及 4.5.10 之前的版本存在安全漏洞。
正常情况下 仅允许访问 Vite 服务白名单内的文件，但通过在 URL 后添加?raw??或?import&raw;??参数可绕过限制，返回目标文件内容（若存在）。
该漏洞成因在于多处代码虽移除了尾部分隔符（如?），但未在查询字符串正则表达式中进行相应处理，导致可读取任意文件内容并返回至浏览器。
仅当应用显式将 Vite 开发服务器暴露至网络（使用--host 参数或配置 server.host 选项）时才会受影响。该问题已在 6.2.3 、6.1.2 、6.0.12 、5.4.15 和 4.5.10 版本中修复。
影响黑客只需在 URL 中加上魔法咒语"?raw??"或"?import&raw;??"，就能绕过 访问限制，轻松读取你的.env 、API 密钥、.bash_history 甚至那些"绝对不能让人看到"的配置文件！
没错，你的命令历史和各种密钥可能正在向陌生人招手！
修复建议将 Vite 升级到已修复的版本：6.2.3 、6.1.2 、6.0.12 、5.4.15 或 4.5.10
如非必要，不要使用--host或server.host配置选项将开发服务器暴露在网络上
https://github.com/advisories/GHSA-x574-m823-4x7w
{{ getUsernameByUid(8857) }}
发布{{ getTimeInfo('2025-03-27 08:51:22') }}
#1
{{ getUsernameByUid(8857) }}
发布{{ getTimeInfo('2025-03-27 08:51:22') }}
#1
之前是 next 现在是 vite ,看来用前端开发服务器还是差点意思, 不是那么完美
{{ getUsernameByUid(170) }}
发布{{ getTimeInfo('2025-03-27 08:56:11') }}
#2
{{ getUsernameByUid(170) }}
发布{{ getTimeInfo('2025-03-27 08:56:11') }}
#2
看清楚啊，是开发服务器，又不是生产服务器
@zeroskylian
@zeroskylian
{{ getUsernameByUid(8857) }}
发布{{ getTimeInfo('2025-03-27 09:00:33') }}
#3
{{ getUsernameByUid(8857) }}
发布{{ getTimeInfo('2025-03-27 09:00:33') }}
#3
#2 刚上班, 脑子没转过来 
{{ getUsernameByUid(796) }}
发布{{ getTimeInfo('2025-03-27 09:00:44') }}
#4
{{ getUsernameByUid(796) }}
发布{{ getTimeInfo('2025-03-27 09:00:44') }}
#4
多大点事儿
{{ getUsernameByUid(36) }}
发布{{ getTimeInfo('2025-03-27 09:08:19') }}
#5
{{ getUsernameByUid(36) }}
发布{{ getTimeInfo('2025-03-27 09:08:19') }}
#5
需要用 vite 做服务器,还要开放到公网, 不过这玩意是咋发现的, 真离谱
{{ getUsernameByUid(2500) }}
发布{{ getTimeInfo('2025-03-27 09:14:52') }}
#6
{{ getUsernameByUid(2500) }}
发布{{ getTimeInfo('2025-03-27 09:14:52') }}
#6
前段时间 esbuild 的开发服务器也爆了个漏洞好像，挺奇妙的
{{ getUsernameByUid(15310) }}
发布{{ getTimeInfo('2025-03-27 09:18:19') }}
#7
{{ getUsernameByUid(15310) }}
发布{{ getTimeInfo('2025-03-27 09:18:19') }}
#7
我的扫描器昨天晚上已经发布了
https://github.com/xuemian168/CVE-2025-30208
支持 FOFA 自动化和手动操作
https://github.com/xuemian168/CVE-2025-30208
支持 FOFA 自动化和手动操作
{{ getUsernameByUid(3900) }}
发布{{ getTimeInfo('2025-03-27 10:28:24') }}
#8
{{ getUsernameByUid(3900) }}
发布{{ getTimeInfo('2025-03-27 10:28:24') }}
#8
这个名字起的不好，有歧义
{{ getUsernameByUid(5056) }}
发布{{ getTimeInfo('2025-03-27 10:33:25') }}
#9
{{ getUsernameByUid(5056) }}
发布{{ getTimeInfo('2025-03-27 10:33:25') }}
#9
总有聪明的懒蛋觉得开发服务器也能用来部署
{{ getUsernameByUid(15311) }}
发布{{ getTimeInfo('2025-03-27 10:39:55') }}
#10
{{ getUsernameByUid(15311) }}
发布{{ getTimeInfo('2025-03-27 10:39:55') }}
#10
#7 有点好奇为什么你的 poc 没有别的 POC 的 star 高，明明你的发布时间更早 
难道是语言的问题么
难道是语言的问题么{{ getUsernameByUid(14675) }}
发布{{ getTimeInfo('2025-03-27 10:57:43') }}
#11
{{ getUsernameByUid(14675) }}
发布{{ getTimeInfo('2025-03-27 10:57:43') }}
#11
首先对外的服务器，第一件事就是对端口进行控制，最好就是能不暴露就不暴露，
如果只是内部使用，可以试试 零信任，或者 ssh 隧道。
开发的话，可以用 vscode 远程开发插件
如果只是内部使用，可以试试 零信任，或者 ssh 隧道。
开发的话，可以用 vscode 远程开发插件
{{ getUsernameByUid(892) }}
发布{{ getTimeInfo('2025-03-27 11:01:51') }}
#12
{{ getUsernameByUid(892) }}
发布{{ getTimeInfo('2025-03-27 11:01:51') }}
#12
5 分，不太高。毕竟仅仅是 dev server 。真有小白用 dev server 作为 prod hosting 的话，只能说是 skill issue 了。
{{ getUsernameByUid(2949) }}
发布{{ getTimeInfo('2025-03-27 11:07:27') }}
#13
{{ getUsernameByUid(2949) }}
发布{{ getTimeInfo('2025-03-27 11:07:27') }}
#13
用的 Nuxt ，没发现这个问题。
{{ getUsernameByUid(15310) }}
发布{{ getTimeInfo('2025-03-27 11:31:08') }}
#14
{{ getUsernameByUid(15310) }}
发布{{ getTimeInfo('2025-03-27 11:31:08') }}
#14
大概率是的，而且我的 POC 明显更完善。还有一个原因可能是 TOP1 自带流量
{{ getUsernameByUid(2352) }}
发布{{ getTimeInfo('2025-03-27 11:37:11') }}
#15
{{ getUsernameByUid(2352) }}
发布{{ getTimeInfo('2025-03-27 11:37:11') }}
#15
内容太夸张了, vite 都是本地开发用的, 根本没有什么隐患
{{ getUsernameByUid(15310) }}
发布{{ getTimeInfo('2025-03-27 11:43:40') }}
#16
{{ getUsernameByUid(15310) }}
发布{{ getTimeInfo('2025-03-27 11:43:40') }}
#16
其实公网上很多这种情况
{{ getUsernameByUid(8114) }}
发布{{ getTimeInfo('2025-03-27 11:50:35') }}
#17
{{ getUsernameByUid(8114) }}
发布{{ getTimeInfo('2025-03-27 11:50:35') }}
#17
笑死，刚上班的状态确实是这样的
{{ getUsernameByUid(8774) }}
发布{{ getTimeInfo('2025-03-27 12:10:23') }}
#18
{{ getUsernameByUid(8774) }}
发布{{ getTimeInfo('2025-03-27 12:10:23') }}
#18
哈哈，不排除有人用 vite 起个 npm run dev 跑服务
{{ getUsernameByUid(15312) }}
发布{{ getTimeInfo('2025-03-27 12:25:36') }}
#19
{{ getUsernameByUid(15312) }}
发布{{ getTimeInfo('2025-03-27 12:25:36') }}
#19
屁大点儿事，一惊一乍，像个菜鸡
{{ getUsernameByUid(post.updatedByUid) }}
编辑于 {{ getTimeInfo(post.UpdatedAt) }}
{{ getUsernameByUid(post.uid) }}
发布于 {{ getTimeInfo(post.CreatedAt) }}
# {{post.num}}
{{ getUsernameByUid(post.updatedByUid) }}
编辑于 {{ getTimeInfo(post.UpdatedAt) }}
{{ getUsernameByUid(post.uid) }}
发布于 {{ getTimeInfo(post.CreatedAt) }}
# {{post.num}}
#{{nav.post.anchor}}