关联漏洞
标题:Vite 访问控制错误漏洞 (CVE-2026-39363)Description:Vite是Vite开源的一种新型的前端构建工具。 Vite 6.0.0至6.4.2之前版本、7.3.2之前版本和8.0.5之前版本存在访问控制错误漏洞，该漏洞源于WebSocket路径缺少访问控制，可能导致攻击者检索服务器上的任意文件。
Description
Vite dev server exposes the fetchModule method via its WebSocket HMR (Hot Module Replacement) endpoint using the vite-hmr sub-protocol. By connecting to the WebSocket endpoint and sending a crafted vite:invoke custom event that calls fetchModule with a file:// URL (e.g., file:///etc/passwd?raw), an attacker can bypass server.fs.deny restrictions and read arbitrary files from the server filesystem. The vulnerability exists because fetchModule does not enforce the same filesystem access controls as other Vite server endpoints.
文件快照
id: CVE-2026-39363
info:
name: Vite Dev Server - Arbitrary File Read
author: theamanrawat
sev
...
备注
1. 建议优先通过来源进行访问。
2. 如果因为来源失效或无法访问，请发送邮件到 f.jinxu#gmail.com 索取本地快照（把 # 换成 @）。
3. 神龙已为您对 POC 代码进行快照，为了长期维护，请考虑为本地 POC 付费/捐赠，感谢您的支持。