概要
launch-editor npm パッケージに Windows 固有の脆弱性があります。UNC パス（\\server\share 形式）を含むファイルパスが処理される際、Windows が自動的に NTLM 認証を試み、ユーザーの NTLMv2 パスワードハッシュが攻撃者の制御する SMB サーバーへ送信されます。
launch-editor は Vite の「ブラウザのエラーオーバーレイからエディタでファイルを開く」機能で使用されており、Vite を利用する多数のフレームワーク（Vue CLI、Nuxt、Vite ベースプロジェクト全般）が影響を受けます。
取得した NTLMv2 ハッシュはオフラインでクラッキングされ、パスワードの復元や認証の偽装に使用される可能性があります。なお、Vite の dev server がネットワーク公開されている場合（--host オプション使用時）に外部から悪用されやすくなります。
影響を受けるソフトウェア
| 製品 | バージョン |
|---|---|
| launch-editor | 2.14.1 未満 |
| vite | 6.4.3 未満 |
| vite | 7.3.5 未満 |
| vite | 8.0.16 未満 |
| vite-plus | 0.1.24 未満 |
修正バージョンと回避策
修正バージョン:
- launch-editor: 2.14.1 以降
- Vite 6.x: 6.4.3 以降
- Vite 7.x: 7.3.5 以降
- Vite 8.x: 8.0.16 以降
回避策:
- Windows 環境での Vite dev server のネットワーク公開（
--host）を避ける - ローカルホスト（
127.0.0.1）へのバインドに限定する - エディタとの連携機能を利用しない場合は launch-editor の機能を無効化する
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。