CVE-2025-30208

Vite, ein Anbieter von Frontend-Entwicklungswerkzeugen, weist in den Versionen vor 6.2.3, 6.1.2, 6.0.12, 5.4.15 und 4.5.10 eine Schwachstelle auf. `@fs` verweigert den Zugriff auf Dateien außerhalb der Allow-Liste für die Auslieferung durch Vite. Das Hinzufügen von `?raw??` oder `?import&raw??` zur URL umgeht diese Einschränkung und gibt den Dateiinhalt zurück, wenn die Datei vorhanden ist. Dieser Umgehungsweg besteht, weil nachgestellte Trennzeichen wie `?` an mehreren Stellen entfernt werden, aber in regulären Ausdrücken für Abfragezeichenfolgen nicht berücksichtigt werden. Die Inhalte beliebiger Dateien können an den Browser zurückgegeben werden. Betroffen sind nur Anwendungen, die den Vite-Entwicklungsserver ausdrücklich für das Netzwerk zugänglich machen (unter Verwendung von `--host` oder der Konfigurationsoption `server.host`). Die Versionen 6.2.3, 6.1.2, 6.0.12, 5.4.15 und 4.5.10 beheben das Problem.