KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2025-30208 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
Vite是一个现代前端构建工具，为Web项目提供更快、更精简的开发体验。它主要由两部分组成：具有热模块替换（HMR）功能的开发服务器，以及使用Rollup打包代码的构建命令。在Vite 6.2.3、6.1.2、6.0.12、5.4.15和4.5.10版本之前，用于限制访问Vite服务允许列表之外的文件的server.fs.deny功能可被绕过。通过在URL的@fs前缀后增加?raw??或?import&raw??，攻击者可以读取文件系统上的任意文件。
影响范围
应用：vitejs vite（影响面 Up to (excluding) 4.5.10）
应用：vitejs vite（影响面 Up to (excluding) 5.4.15）
应用：vitejs vite（影响面 Up to (excluding) 6.0.12）
应用：vitejs vite（影响面 Up to (excluding) 6.1.2）
应用：vitejs vite（影响面 Up to (excluding) 6.2.3）
解决方案
攻击者可以读取文件系统上的任意文件。
参考信息
https://github.com/vitejs/vite/commit/315695e9d97cc6cfa7e6d9e0229fb50cdae3d9f4
https://github.com/vitejs/vite/commit/80381c38d6f068b12e6e928cd3c616bd1d64803c
https://github.com/vitejs/vite/commit/807d7f06d33ab49c48a2a3501da3eea1906c0d41
https://github.com/vitejs/vite/commit/92ca12dc79118bf66f2b32ff81ed09e0d0bd07ca
https://github.com/vitejs/vite/commit/f234b5744d8b74c95535a7b82cc88ed2144263c1
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。