2025-03-27 12:04 上海
检测业务是否受到此漏洞影响，请联系长亭应急服务团队！
Vite 是一个现代化的前端构建工具，旨在提供快速的开发服务器和优化的构建流程，广泛用于开发 JavaScript 和 TypeScript 的 Web 应用程序。
2025 年 3 月，Vite 官方发布安全补丁，修复了一个任意文件读取漏洞（CVE-2025-30208）。该漏洞允许攻击者通过构造特殊 URL 绕过 Vite 的文件访问限制，读取服务器上的任意文件内容。虽然该漏洞的利用需要特定的服务器配置，但由于许多流行前端框架集成了 Vite，其潜在影响范围极广，建议受影响的用户立即修复该漏洞。
漏洞成因
Vite 开发服务器需通过 --host 或 server.host 配置选项暴露到网络（默认仅限本地访问）。
任意文件读取：攻击者可读取服务器上的敏感文件（如配置文件、密钥文件等），可能导致凭据泄露或其他安全风险。
处置优先级：高
漏洞类型：逻辑漏洞
漏洞危害等级：高
触发方式：网络远程
权限认证要求：无需权限
系统配置要求：非默认配置，需将 Vite 开发服务器暴露到互联网上
用户交互要求：无需用户交互
利用成熟度：POC/EXP 已公开
修复复杂度：低，官方提供升级修复方案
6.2.0 <= vite < 6.2.3
6.1.0 <= vite < 6.1.2
6.0.0 <= vite < 6.0.12
5.0.0 <= vite < 5.4.15
vite < 4.5.10
如果暂时无法升级，可以采取以下措施降低风险：
1. 限制网络访问：将 --host 或 server.host 设置为 localhost，确保开发服务器仅限本地访问。
2. 严格文件权限：确保敏感文件不可被 Vite 进程读取（例如通过操作系统权限控制）。
Vite 官方已发布安全补丁，修复版本包括：
6.2.3、6.1.2、6.0.12、5.4.15、4.5.10
请尽快通过 npm update vite 或手动升级到以上版本以修复漏洞。
云图：默认支持该产品的指纹识别，同时支持该漏洞的原理PoC检测
洞鉴：预计3.28发布更新支持该漏洞检测
雷池：已发布自定义规则支持该漏洞利用行为的检测
全悉：默认支持漏洞利用行为检测
3月24日 互联网公开披露该漏洞
3月26日 长亭应急安全实验室复现漏洞
3月27日 长亭安全应急响应中心发布通告
参考资料：
全力进行产品升级
及时将风险提示预案发送给客户
检测业务是否受到此次漏洞影响
请联系长亭应急服务团队
7*24小时，守护您的安全
第一时间找到我们：