Veille sécuritéFrontend
P4Faible
Dans Vite, des applications utilisant un middleware personnalisé peuvent être vulnérables lorsque celui-ci transmet à server.transformIndexHtml une URL de requête navigateur inchangée. Une URL spécialement construite peut provoquer le chargement d’un module contrôlé par l’attaquant dans une page servie par Vite ; les branches concernées sont corrigées en 6.4.4, 7.3.7, 8.1.6, 8.2.4 et 8.3.3.
JavaScriptVite
IdentifiantCVE-2026-112945
GravitéFaible
Exploitationnon connue / non déterminée
Correctif6.4.4, 7.3.7, 8.1.6, 8.2.4 ou 8.3.3, selon la branche
Source : CVE-2026-112945 — NVD
Analyse technique
Le scénario décrit requiert l’usage de middleware personnalisé, un script module en ligne dans le HTML transformé et le chargement par le navigateur d’une page de développement spécialement construite.
Impact, versions et correctif
Événement datéLa fiche CVE/NVD indique une publication le 2026-10-20 à 16:17:05 UTC, soit 18:17:05.043+02:00, dans la période demandée.
ImpactExécution d’un module non fiable dans la page servie par le serveur de développement, avec risque d’exposition de données ou d’actions non autorisées.
Versions affectéesVersions antérieures à 6.4.4, 7.3.7, 8.1.6, 8.2.4 et 8.3.3, selon la branche
Version corrigée6.4.4, 7.3.7, 8.1.6, 8.2.4 ou 8.3.3, selon la branche
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2.1
Publication2026-10-20T18:17:05.043+02:00
Mise à jour2026-10-20T21:56:45.543+02:00
Action recommandée
Mettre à jour Vite vers la version corrigée correspondant à la branche utilisée.
Sources
Priorisation DFS : P4 · 1 source(s).