CVE-2026-39364 — Vite — Corregido en 7.3.2 / 8.0.5
Vite es un framework de herramientas frontend para JavaScript. Desde 7.1.0 hasta antes de 7.3.2 y 8.0.5, en el servidor de desarrollo de Vite, los archivos que deberían estar bloqueados por server.fs.deny (p. ej., .env, *.crt) pueden recuperarse con respuestas HTTP 200 cuando se añaden parámetros de consulta como ?raw, ?import&raw o ?import&url&inline. Esta vulnerabilidad se corrige en 7.3.2 y 8.0.5.
Versiones corregidas
Elige la versión correspondiente al producto y a la rama instalada.
| Producto | Versiones corregidas |
|---|---|
| Vite | 7.3.2 / 8.0.5 |
Preaviso: explotación observada
- Explotación observada desde el 11 sept 2026
- Todavía no está en el catálogo oficial de CISA
- Primer ataque observado 156 días después de la divulgación
Fuente: VulnCheck KEV · 15 sept 2026 11 sept 2026
Puntuación CVSS7.5 / 10
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NTipo de debilidad (CWE)CWE-180, CWE-284, CWE-472
Fabricantesvitejs, voidzero
Productos afectados
| Fabricantes | Producto | Versiones |
|---|---|---|
| vitejs | vite | <= 7.3.1 |
| voidzero | vite\+ | <= 0.1.15 |
Artículos relacionados
This product uses the NVD API but is not endorsed or certified by the NVD.
La descripción técnica es una traducción nuestra del texto original de NVD, en inglés.