一、 漏洞 CVE-2025-46565 基础信息
漏洞信息
                                        # 通过 /. 绕过 Vite 的 server.fs.deny 限制从而访问项目根目录下的文件

## 漏洞概述
Vite是一款前端开发工具框架，由于存在的漏洞，允许攻击者通过特定文件匹配模式获取被拒绝的项目根目录中的文件内容，从而返回给浏览器。

## 影响版本
- 6.3.4 之前版本
- 6.2.7 之前版本
- 6.1.6 之前版本
- 5.4.19 之前版本
- 4.5.14 之前版本

## 细节
只有明确暴露Vite开发服务器到网络的应用受到影响（使用 `--host` 或 `server.host` 配置选项）。仅限于项目根目录下的文件并且被文件匹配模式拒绝的文件可以被绕过。`server.fs.deny` 可以包含匹配文件模式的规则（默认包含 `.env`, `.env.*`, `*.{crt,pem}` 等模式）。通过使用斜杠和点的组合 (`/.`)，这些模式可以绕过并访问到相应文件。

## 影响
该问题在版本6.3.4、6.2.7、6.1.6、5.4.19及4.5.14中已修复。未更新到这些版本并暴露Vite开发服务器的应用可能存在访问被拒绝文件的风险。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Vite's server.fs.deny bypassed with /. for files under project root
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Vite is a frontend tooling framework for javascript. Prior to versions 6.3.4, 6.2.7, 6.1.6, 5.4.19, and 4.5.14, the contents of files in the project root that are denied by a file matching pattern can be returned to the browser. Only apps explicitly exposing the Vite dev server to the network (using --host or server.host config option) are affected. Only files that are under project root and are denied by a file matching pattern can be bypassed. `server.fs.deny` can contain patterns matching against files (by default it includes .env, .env.*, *.{crt,pem} as such patterns). These patterns were able to bypass for files under `root` by using a combination of slash and dot (/.). This issue has been patched in versions 6.3.4, 6.2.7, 6.1.6, 5.4.19, and 4.5.14.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
对路径名的限制不恰当(路径遍历)
来源：美国国家漏洞数据库 NVD
漏洞标题
Vite 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Vite是Vite开源的一种新型的前端构建工具。 Vite 6.3.4之前版本存在安全漏洞，该漏洞源于文件匹配模式绕过，可能导致信息泄露。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-46565 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2025-46565 的情报信息