Vite 开发服务器跨源脚本执行漏洞公开 PoC

GitHub 安全公告库（GHSA）公开了 Vite 自定义中间件跨源脚本执行漏洞的 PoC：攻击者可构造含 `//` 的请求路径，使开发服务器生成的模块 src 指向外部域名，从而在 Vite 页面中执行任意 JavaScript。 该问题出现在开发服务器将未经修改的浏览器请求 URL 传入 server.transformIndexHtml 时，通常对应 server.middlewareMode: true 或 appType: 'custom' 的用法；触发还需转换后的 HTML 含内联模块脚本。公告称，若页面脚本可访问敏感值或执行关键操作，影响会进一步扩大。PoC 输出基于 Vite 8.2.1 观察。

AI 根据报道生成 · 1 天前更新

还没有足够的连续观测数据，暂不绘制趋势。