CVE-2026-39363

Beschreibung

Vite ist ein Frontend Tooling Framework für JavaScript. Von 6.0.0 bis vor 6.4.2, 7.3.2 und 8.0.5 kann ein Angreifer, wenn es möglich ist, eine Verbindung zum WebSocket des Vite-Dev-Servers ohne Origin-Header herzustellen, fetchModule über das benutzerdefinierte WebSocket-Ereignis vite:invoke aufrufen und file://... mit ?raw (oder ?inline) kombinieren, um den Inhalt beliebiger Dateien auf dem Server als JavaScript-String abzurufen (z. B. Export-Standard "..."). Die im HTTP-Anfragepfad erzwungene Zugriffskontrolle (wie server.fs.allow) wird nicht auf diesen WebSocket-basierten Ausführungspfad angewendet. Diese Schwachstelle wird in 6.4.2, 7.3.2 und 8.0.5 behoben.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Mehrere Hersteller vite, vite\+.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.