Veille sécuritéFrontend
P4Moyenne
Vite présente une divulgation de données hors des chemins autorisés par `server.fs` via le traitement des requêtes `?vite-wasm-instance`. Dans certaines conditions, l’erreur de parsing WebAssembly révèle les quatre premiers octets du fichier visé.
JavaScriptVite
IdentifiantCVE-2026-112947
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif8.2.4 et 8.3.3
Source : NVD — CVE-2026-112947
Analyse technique
Le greffon Wasm interne retire le paramètre de requête puis lit directement le chemin sur disque sans appliquer les contrôles `server.fs`. Si le contenu n’est pas un WebAssembly valide, l’erreur générée par Node ou Deno peut inclure les quatre premiers octets du fichier.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-20 à 16:17:05 UTC, soit dans la période demandée (+02:00).
ImpactUn attaquant pouvant adresser le serveur concerné peut obtenir les quatre premiers octets de fichiers accessibles au processus mais hors des chemins autorisés.
Versions affectéesVite 8.2.0 à 8.2.3 et versions antérieures à 8.3.3 dans la branche 8.3
Version corrigée8.2.4 et 8.3.3
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.3
Publication2026-10-20T18:17:05.370+02:00
Mise à jour2026-10-20T21:56:45.543+02:00
Action recommandée
Mettre à niveau vers Vite 8.2.4 ou 8.3.3, selon la branche utilisée.
Sources
Priorisation DFS : P4 · 1 source(s).