Vite 开发服务器路径匹配缺陷可泄露文件

GitHub 安全公告库公开了 Vite 开发服务器一个路径匹配缺陷的 PoC：在非 Windows 机器上，当项目导入文件的根相对路径与宿主机绝对路径相同时，服务器可把 server.fs.allow 之外的文件内容返回给浏览器，例如 /etc/hosts。 触发需同时满足：开发服务器通过 --host 或 server.host 显式暴露到网络；存在导入文件的根相对浏览器 URL 恰好是宿主机上可读文件的绝对路径；该敏感文件未被 server.fs.deny 匹配；服务器不在 Windows 上运行。公告给出的示例需 Linux 环境且 /etc/hostname 可读。

AI 根据报道生成 · 1 天前更新

还没有足够的连续观测数据，暂不绘制趋势。