Vite 存在任意文件读取漏洞(CVE-2025-30208)

免责声明

仅供网络安全研究与教育目的使用。任何人不得将本文提供的信息用于非法目的或未经授权的系统测试。作者不对任何由于使用本文信息而导致的直接或间接损害承担责任。如涉及侵权，请及时与我们联系，我们将尽快处理并删除相关内容。

一：产品介绍

Vite 是一个面向现代 Web 开发的轻量级前端构建工具，由 Vue.js 作者尤雨溪团队打造。它基于原生 ES 模块（ESM）提供极速的开发服务器启动和热更新，利用浏览器原生支持的特性实现按需编译，无需打包，显著提升开发效率。生产环境则通过 Rollup 进行高效构建，支持 TypeScript、JSX、CSS 预处理器等主流工具链，同时提供丰富的插件生态。Vite 以"快"为核心，重新定义了前端开发体验，尤其适合单页应用（SPA）、库工具等场景。

二：漏洞描述

CVE-2025-30208 是 Vite 开发服务器中的一个高危安全漏洞，攻击者可利用未正确校验的路径遍历请求（如 ../../）读取服务器上的任意文件（如 /etc/passwd 或项目源码）。该漏洞影响 Vite 5.x 及更早版本，主要因开发模式下的静态文件处理逻辑缺陷导致。官方已在