Veille sécuritéFrontend
P4Moyenne
Dans Vite, l’analyse des imports peut inscrire une URL navigateur root-relative dans safeModulePaths au lieu de l’identifiant de module résolu et nettoyé. Sur un serveur de développement non-Windows accessible par le réseau, cela peut permettre la divulgation d’un fichier hôte correspondant, si server.fs.deny ne le bloque pas ; des correctifs sont publiés dans plusieurs branches.
JavaScriptVite
IdentifiantCVE-2026-112946
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif6.4.4, 7.3.7, 8.1.6, 8.2.4 ou 8.3.3, selon la branche
Source : CVE-2026-112946 — NVD
Analyse technique
L’accès dépend d’un fichier de projet importé dont l’URL correspond à un chemin absolu de l’hôte ; la fiche précise que cela ne permet pas un parcours arbitraire de chemins.
Impact, versions et correctif
Événement datéLa fiche CVE/NVD indique une publication le 2026-10-20 à 16:17:05 UTC, soit 18:17:05.210+02:00, dans la période demandée.
ImpactDivulgation possible de fichiers hors du répertoire du projet, sous les conditions décrites.
Versions affectéesVersions antérieures à 6.4.4, 7.3.7, 8.1.6, 8.2.4 et 8.3.3, selon la branche
Version corrigée6.4.4, 7.3.7, 8.1.6, 8.2.4 ou 8.3.3, selon la branche
ContournementVérifier que server.fs.deny bloque les fichiers hôtes sensibles et éviter d’exposer le serveur de développement au réseau non fiable.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.3
Publication2026-10-20T18:17:05.210+02:00
Mise à jour2026-10-20T21:56:45.543+02:00
Action recommandée
Mettre à jour Vite vers la version corrigée correspondant à la branche utilisée et restreindre l’accès réseau au serveur de développement.
Sources
Priorisation DFS : P4 · 1 source(s).