CVE-2025-30208

Vite, un proveedor de herramientas de desarrollo frontend, presenta una vulnerabilidad en las versiones anteriores a 6.2.3, 6.1.2, 6.0.12, 5.4.15 y 4.5.10. `@fs` deniega el acceso a archivos fuera de la lista de permitidos del servidor de Vite. Añadir `?raw??` o `?import&raw??` a la URL omite esta limitación y devuelve el contenido del archivo si existe. Este bypass existe porque los separadores finales, como `?`, se eliminan en varios lugares, pero no se tienen en cuenta en las expresiones regulares de las cadenas de consulta. El contenido de archivos arbitrarios puede devolverse al navegador. Solo se ven afectadas las aplicaciones que exponen explícitamente el servidor de desarrollo de Vite a la red (usando `--host` o la opción de configuración `server.host`). Las versiones 6.2.3, 6.1.2, 6.0.12, 5.4.15 y 4.5.10 corrigen el problema.