Vite 开发服务器可泄露文件前 4 字节

GitHub 安全公告库披露，Vite 开发服务器处理带 `?vite-wasm-instance` 的请求时，内部 Wasm 插件的 `load` 钩子未执行 `server.fs` 检查，直接读取磁盘文件并按 WebAssembly 解析；解析失败时，Node.js 或 Deno 的报错会把文件前 4 字节返回给浏览器，使 `server.fs` 范围外的文件内容外泄。 该问题需同时满足：开发服务器通过 `--host` 或 `server.host` 显式暴露到网络、目标文件前 4 字节含敏感信息、使用 Node.js 或 Deno 运行 Vite；用 Bun 运行不受影响。公告未说明修复版本或缓解措施。

AI 根据报道生成 · 1 天前更新

还没有足够的连续观测数据，暂不绘制趋势。