GitHub 安全公告库 (GHSA)·2026-10-22 00:48· 1 天前AI 评分36

Vite 自定义中间件跨源脚本执行漏洞（GHSA）可致开发服务器页面被注入脚本

Vite: Cross origin script execution through Vite custom middleware

AI 导读

Vite 开发服务器在将未经修改的浏览器请求 URL 传入 server.transformIndexHtml 时存在跨源脚本执行问题，攻击者可构造含 `//` 的路径让生成的模块 src 指向外部域名，从而在 Vite 页面中执行任意 JavaScript。