概要
Vite 開発サーバーの server.fs.deny 設定が、Windows の代替パス（短縮ファイル名 8.3形式など）を使用することで迂回できる脆弱性です（GHSA-fx2h-pf6j-xcff）。以下の条件をすべて満たす環境で影響を受けます。
--hostまたはserver.host設定でネットワークに公開している- 機密ファイルが
server.fs.allowで許可されたディレクトリ内に存在する - Windows 環境で動作している
CVSS v4.0 ベクトル: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
影響を受けるソフトウェア
| 製品 | 影響バージョン | 修正バージョン |
|---|---|---|
| vite (npm) | 8.0.16 未満 | 8.0.16 |
| vite (npm) | 7.3.5 未満 | 7.3.5 |
| vite (npm) | 6.4.3 未満 | 6.4.3 |
| vite-plus (npm) | 0.1.24 未満 | 0.1.24 |
修正バージョンと対応策
- vite を修正バージョン以上にアップデートする
- 開発サーバーをネットワークに公開する必要がない場合は
--hostオプションを使用しない - 本脆弱性は開発環境での使用に限定された問題であり、本番ビルド（
vite build）には影響しません
関連リンク
データソース: GitHub Advisory Database, NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。