Vite /.env/. 目录遍历漏洞（CVE-2025-46565）

日期: 2025-11-28 | 影响软件: Vite | POC: 否

漏洞描述

Vite是一个基于JavaScript的前端构建工具框架，广泛用于现代Web开发。使用Vite开发服务器并配置了server.host或--host选项暴露到网络的应用程序。该漏洞源于开发服务器对文件路径限制逻辑存在缺陷，攻击者可通过构造特殊的路径序列（如'/.env/.'）绕过server.fs.deny配置的文件匹配模式限制，从而访问项目根目录下本应被拒绝访问的敏感文件。成功利用可导致敏感配置文件（如.env文件、SSL证书等）内容泄露，但无法直接获取服务器权限或执行代码。

PoC代码

暂无

相关漏洞推荐