Dans Vite 6.4.4, des paramètres de requête comme ?raw ou ?import&raw peuvent contourner server.fs.deny et permettre de récupérer des fichiers que cette règle devrait bloquer. Le risque concerne les serveurs de développement exposés au réseau et les fichiers situés dans les répertoires autorisés; la correction est Vite 6.4.5.
Analyse technique
Le contournement est lié au traitement de paramètres de requête de chargement avant l’application du blocage server.fs.deny. L’avis indique que la version 6.4.4 a reçu un correctif antérieur sans le correctif complémentaire nécessaire; la version 6.4.5 corrige le problème.
Impact, versions et correctif
Détection / vérification
Vérifier la version de Vite et si le serveur de développement est exposé au réseau. Le scénario nécessite aussi que le fichier sensible soit dans server.fs.allow et corresponde à une règle server.fs.deny.
Action recommandée
Mettre à niveau Vite 6.4.4 vers la version corrigée 6.4.5 ou une version ultérieure; éviter d’exposer le serveur de développement au réseau.
Sources
Priorisation DFS : P4 · 1 source(s).