Vite 开发服务器路径遍历漏洞（CVE-2025-30208）

[ic3z]

描述

前端构建工具 Vite 在 6.2.3 、6.1.2 、6.0.12 、5.4.15 及 4.5.10 之前的版本存在安全漏洞。

正常情况下 @fs 仅允许访问 Vite 服务白名单内的文件，但通过在 URL 后添加?raw??或?import&raw;??参数可绕过限制，返回目标文件内容（若存在）。

该漏洞成因在于多处代码虽移除了尾部分隔符（如?），但未在查询字符串正则表达式中进行相应处理，导致可读取任意文件内容并返回至浏览器。

仅当应用显式将 Vite 开发服务器暴露至网络（使用--host 参数或配置 server.host 选项）时才会受影响。该问题已在 6.2.3 、6.1.2 、6.0.12 、5.4.15 和 4.5.10 版本中修复。

影响

黑客只需在 URL 中加上魔法咒语"?raw??"或"?import&raw;??"，就能绕过 @fs 访问限制，轻松读取你的.env 、API 密钥、.bash_history 甚至那些"绝对不能让人看到"的配置文件！

没错，你的命令历史和各种密钥可能正在向陌生人招手！

修复建议

将 Vite 升级到已修复的版本：6.2.3 、6.1.2 、6.0.12 、5.4.15 或 4.5.10

如非必要，不要使用--host或server.host配置选项将开发服务器暴露在网络上

参考

https://github.com/advisories/GHSA-x574-m823-4x7w

[lp4298707]

什么鬼？意思是会有人在服务器上跑 npm run dev 供外网访问？

[yhxx]

@lp4298707 真有。。。我有个前同事就干过，npm run dev 然后 nginx 代理这个端口，就这么跑着。。。

[tcper]

vite 这个基本没人 run dev 跑在服务器上，但是 nextjs 之前那个就是推荐 next start 这种命令跑在服务器上的

[leokun]

这还是有点影响的
有很多人都有公网 IP ,如果端口全漏, 在开发的时候一个不注意被人扫到就随便拿你电脑的文件了
而且 vite 有 nodejs api,这个可能有一些 node 服务会用到 https://cn.vite.dev/guide/api-javascript
也是很危险的

[CinHaiZio]

@liubaicai 还真有, 之前闲鱼买汉堡王的时候卖家发来 ip:5174 的地址让我在里面点