CVE-2025-24010mediumCWE-1385CWE-346CWE-350

CVE-2025-24010: fallo de gravedad media en vitejs vite

Vite allows any websites to send any requests to the development server and read the response

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear vite+ Monitorear vite

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 6.5epss 0.3%
En resumen

El servidor de desarrollo de Vite acepta solicitudes de cualquier sitio web sin verificaciones de seguridad adecuadas, permitiendo que los atacantes envíen comandos a su entorno local de desarrollo y lean respuestas sensibles. Esto ocurre porque las protecciones CORS no están habilitadas por defecto.

Detalle técnico

La vulnerabilidad proviene de políticas CORS mal configuradas y validación insuficiente del header Origin en conexiones WebSocket en el servidor de desarrollo de Vite. Un atacante puede explotarla mediante solicitudes cross-site desde cualquier origen para ejecutar solicitudes arbitrarias contra el servidor de dev y exfiltrar respuestas.

Resumen generado y traducido por IA a partir de la descripción oficial.
Vite is a frontend tooling framework for javascript. Vite allowed any websites to send any requests to the development server and read the response due to default CORS settings and lack of validation on the Origin header for WebSocket connections. This vulnerability is fixed in 6.0.9, 5.4.12, and 4.5.6.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
Productos afectados
vitejs · vite
CVEs relacionadas — vitejs vite

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-31125MEDIUMVite has a `server.fs.deny` bypassed for `inline` and `raw` with `?import` queryEPSS 74.9%KEVCVE-2025-30208MEDIUMVite bypasses server.fs.deny when using `?raw??`EPSS 74.8%CVE-2025-31486MEDIUMVite allows server.fs.deny to be bypassed with .svg or relative pathsEPSS 40.5%CVE-2026-39363HIGHVite Affected by Arbitrary File Read via Vite Dev Server WebSocketEPSS 3.4%CVE-2023-34092HIGHVite Server Options (server.fs.deny) can be bypassed using double forward-slash (//)EPSS 3.2%CVE-2026-39364HIGHVite has a `server.fs.deny` bypass with queriesEPSS 2.3%