CVE-2025-24010mediumCWE-1385CWE-346CWE-350

CVE-2025-24010: falha de média gravidade em vitejs vite

Vite allows any websites to send any requests to the development server and read the response

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar vite+ Monitorar vite

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6.5epss 0.3%
Em resumo

O servidor de desenvolvimento do Vite aceita requisições de qualquer website sem verificações de segurança adequadas, permitindo que atacantes enviem comandos ao seu ambiente local e leiam respostas sensíveis. Isso ocorre porque as proteções CORS não estão ativadas por padrão.

Detalhe técnico

A vulnerabilidade resulta de políticas CORS mal configuradas e validação insuficiente do header Origin em conexões WebSocket no servidor de desenvolvimento do Vite. Um atacante pode explorar isso através de requisições cross-site de qualquer origem para executar requisições arbitrárias contra o servidor de dev e exfiltrar respostas.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Vite is a frontend tooling framework for javascript. Vite allowed any websites to send any requests to the development server and read the response due to default CORS settings and lack of validation on the Origin header for WebSocket connections. This vulnerability is fixed in 6.0.9, 5.4.12, and 4.5.6.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
Produtos afetados
vitejs · vite
CVEs relacionadas — vitejs vite

No mesmo produto, das mais perigosas para as menos.

CVE-2025-31125MEDIUMVite has a `server.fs.deny` bypassed for `inline` and `raw` with `?import` queryEPSS 74.9%KEVCVE-2025-30208MEDIUMVite bypasses server.fs.deny when using `?raw??`EPSS 74.8%CVE-2025-31486MEDIUMVite allows server.fs.deny to be bypassed with .svg or relative pathsEPSS 40.5%CVE-2026-39363HIGHVite Affected by Arbitrary File Read via Vite Dev Server WebSocketEPSS 3.4%CVE-2023-34092HIGHVite Server Options (server.fs.deny) can be bypassed using double forward-slash (//)EPSS 3.2%CVE-2026-39364HIGHVite has a `server.fs.deny` bypass with queriesEPSS 2.3%