CVE-2025-30208

Vite, fournisseur d’outils de développement frontend, présente une vulnérabilité dans les versions antérieures à 6.2.3, 6.1.2, 6.0.12, 5.4.15 et 4.5.10. `@fs` refuse l’accès aux fichiers situés en dehors de la liste d’autorisation de diffusion de Vite. L’ajout de `?raw??` ou de `?import&raw??` à l’URL contourne cette limitation et renvoie le contenu du fichier s’il existe. Ce contournement est possible parce que les séparateurs finaux tels que `?` sont supprimés à plusieurs endroits, mais ne sont pas pris en compte dans les expressions régulières des chaînes de requête. Le contenu de fichiers arbitraires peut être renvoyé au navigateur. Seules les applications exposant explicitement le serveur de développement Vite au réseau (à l’aide de `--host` ou de l’option de configuration `server.host`) sont concernées. Les versions 6.2.3, 6.1.2, 6.0.12, 5.4.15 et 4.5.10 corrigent le problème.