CVE-2025-31125mediumbajo ataqueCWE-200CWE-284

CVE-2025-31125: fallo de gravedad media en vitejs vite

Vite has a `server.fs.deny` bypassed for `inline` and `raw` with `?import` query

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear vite+ Monitorear Vitejs

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 5.3epss 75%
de la publicación al armael mismo día
Publicada en NVD31 mar
1ª PoC26 mar
CISA KEV+297d
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
Afectado
1 producto (6 componentes)
Red Hat OpenShift distributed tracing 3
no_fix_planned: Out of support scope
No afectado
3 productos (5 componentes) — porque el código vulnerable no está presente en el producto
Red Hat Ansible Automation Platform 2 · Red Hat JBoss Enterprise Application Platform 8 · Red Hat JBoss Enterprise Application Platform Expansion Pack
Acción exigida por CISAplazo federal: 2026-02-12

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

Vite permite leer archivos protegidos usando parámetros especiales en la URL (?inline&import o ?raw?import), omitiendo las restricciones de seguridad. Solo servidores de desarrollo expuestos en la red se ven afectados.

Detalle técnico

Una vulnerabilidad de travesía de directorios en el servidor de desarrollo de Vite ignora las restricciones server.fs.deny cuando se añaden los parámetros ?inline&import o ?raw?import a las solicitudes. El ataque requiere acceso a la red del servidor expuesto y permite divulgación no autorizada de archivos sensibles fuera del directorio permitido.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Vite is a frontend tooling framework for javascript. Vite exposes content of non-allowed files using ?inline&import or ?raw?import. Only apps explicitly exposing the Vite dev server to the network (using --host or server.host config option) are affected. This vulnerability is fixed in 6.2.4, 6.1.3, 6.0.13, 5.4.16, and 4.5.11.
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N
Productos afectados
vitejs · vite
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — vitejs vite

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-30208MEDIUMVite bypasses server.fs.deny when using `?raw??`EPSS 74.8%CVE-2025-31486MEDIUMVite allows server.fs.deny to be bypassed with .svg or relative pathsEPSS 40.5%CVE-2026-39363HIGHVite Affected by Arbitrary File Read via Vite Dev Server WebSocketEPSS 3.4%CVE-2023-34092HIGHVite Server Options (server.fs.deny) can be bypassed using double forward-slash (//)EPSS 3.2%CVE-2026-39364HIGHVite has a `server.fs.deny` bypass with queriesEPSS 2.3%CVE-2025-32395MEDIUMVite has an `server.fs.deny` bypass with an invalid `request-target`EPSS 1.8%