CVE-2026-39363

概要

フロントエンド ビルド ツール Vite の dev サーバー に おいて、WebSocket で 公開 されて いる fetchModule メソッド が server.fs の アクセス 制限 チェック を 適用 して いない 脆弱性 が 発見 されました。

以下 の 条件 を 満たす 場合 に 影響 を 受け ます：

• --host または server.host で dev サーバー を ネットワーク に 公開 して いる
• WebSocket が server.ws: false で 無効化 されて いない

この 条件 下 で、攻撃者 は WebSocket 接続 を 通じて fetchModule を 呼び出し、サーバー 上 の 任意 の ファイル を 読み取る ことが でき ます。server.fs.strict や server.fs.deny に よる 保護 が WebSocket 経由 の リクエスト には 適用 されない こと が 根本 原因 です。

CVSS ベクトル

影響 を 受ける ソフトウェア

影響 の 範囲

Vite は React、Vue、Svelte など の フロントエンド フレームワーク で 広く 使われて いる ビルド ツール です。この 脆弱性 は --host フラグ で dev サーバー を ネットワーク に 公開 して いる 場合 に のみ 影響 します。リモート 開発 環境 や Docker コンテナ 内 で --host 0.0.0.0 を 設定 して いる チーム は 特に 注意 が 必要 です。WebSocket の fetchModule メソッド が server.fs の チェック を 経由 しない ため、プロジェクト ディレクトリ 外 の ファイル も 読み取り 可能 です。

修正 バージョン と 回避策

• 修正: Vite 6.4.2 / 7.3.2 / 8.0.5
• 回避策: dev サーバー を ネットワーク に 公開 しない（--host を 使用 しない）、または server.ws: false で WebSocket を 無効化 する

関連 リンク

• NVD — CVE-2026-39363
• GHSA-p9ff-h696-f583
• 修正 PR #22159

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。