目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CVE-2026-112947— Vite 外部文件前 4 字节信息泄露漏洞

一分钟漏洞结论

影响对象
vitejs vite
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

Vite 是一个面向 JavaScript 的前端工具框架。在版本 8.2.0 至 8.2.4 以及 8.3.3 中，攻击者可通过在请求中添加 查询参数，使服务器返回位于 配置范围之外的文件的前 4 个字节。包含该查询参数的请求由内部 Wasm 插件的 钩子处理。该钩子会移除查询参数，并直接从磁盘读取剩余路径所指向的文件，但并未应用 的安全检查。文件读取后，Vite 会尝试将其解析为 WebAssembly 模块；当解析失败时，Node.js 和 Deno 会抛出包含该文件前 4 个字节的错误信息，从而导致敏感数据

CVSS 6.3 · Medium
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2026-112947 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
Vite: First 4 bytes of files outside of `server.fs` setting is exposed by `?vite-wasm-instance`
来源: CVE Program / CVE List V5
Vulnerability Description
Vite is a frontend tooling framework for JavaScript. From 8.2.0 until 8.2.4 and 8.3.3, the first 4 bytes of files outside of server.fs setting can be returned to the browser by a request containing ?vite-wasm-instance. Requests containing the ?vite-wasm-instance query are handled by the internal Wasm plugin's load hook. The hook removes the query and reads the resulting path directly from disk, but the server.fs checks were not applied. After reading the file, Vite attempts to parse it as WebAssembly. When that parse fails, Node and deno throws an error that contains the first 4 bytes of the file. This vulnerability is fixed in 8.2.4 and 8.3.3.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
对路径名的限制不恰当(路径遍历)
来源: CVE Program / CVE List V5

受影响产品

厂商 产品 影响版本 CPE 订阅
vitejs vite >= 8.3.0, < 8.3.3 -
vitejs vite-plus >= 0.2.8, < 1.1.0 -

二、漏洞 CVE-2026-112947 的公开POC

# POC 描述 源链接 神龙链接
AI 生成 POC 高级

未找到公开 POC。

登录以生成 AI POC

三、漏洞 CVE-2026-112947 的情报信息

请登录查看更多情报信息。

CVE-2026-112947 其他参考 (4)

同批安全公告 · vitejs · 2026-10-20 · 共 6 条

CVE-2026-112942 7.5 HIGH launch-editor Windows fs.existsSync 绕过漏洞
CVE-2026-112944 6.3 MEDIUM launch-editor 任意命令执行漏洞
CVE-2026-112943 6.3 MEDIUM launch-editor Windows 命令注入漏洞
CVE-2026-112946 6.3 MEDIUM Vite 非 Windows 路径匹配时绕过 fs.allow 漏洞
CVE-2026-112945 2.1 LOW Vite 跨站脚本执行漏洞

IV. Related Vulnerabilities

Same product: vite
Same vendor: vitejs
Same weakness: CWE-22

V. Comments for CVE-2026-112947

暂无评论

发表评论