CVE-2026-39364
Publiée le 2026-04-07 · Dernière modification le 2026-08-04
Les serveurs de développement Vite (versions 7.1.0 à 7.3.1 et 8.0.0 à 8.0.4) sont sensibles à une faille de traversée de répertoire (path traversal) qui permet à des utilisateurs non autorisés de contourner les restrictions de fichiers. Un attaquant ayant un accès réseau à votre serveur de développement peut lire des fichiers sensibles — tels que des fichiers `.env` contenant des secrets ou des certificats SSL — simplement en ajoutant des paramètres de requête spécifiques, comme `?raw`, à une requête. Cette exploitation ne nécessite ni authentification ni interaction de l'utilisateur et est triviale à exécuter.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Vite is a frontend tooling framework for JavaScript. From 7.1.0 to before 7.3.2 and 8.0.5, on the Vite dev server, files that should be blocked by server.fs.deny (e.g., .env, *.crt) can be retrieved with HTTP 200 responses when query parameters such as ?raw, ?import&raw, or ?import&url&inline are appended. This vulnerability is fixed in 7.3.2 and 8.0.5.