CVE-2026-39364 — Vite — Corrigé dans 7.3.2 / 8.0.5
Vite est un framework d'outillage frontend pour JavaScript. De 7.1.0 à avant 7.3.2 et 8.0.5, sur le serveur dev Vite, les fichiers qui devraient être bloqués par server.fs.deny (p. ex., .env, *.crt) peuvent être récupérés avec des réponses HTTP 200 lorsque des paramètres de requête tels que ?raw, ?import&raw ou ?import&url&inline sont ajoutés. Cette vulnérabilité est corrigée en 7.3.2 et 8.0.5.
Versions corrigées
Choisissez la version correspondant au produit et à la branche installée.
| Produit | Versions corrigées |
|---|---|
| Vite | 7.3.2 / 8.0.5 |
Alerte précoce : exploitation observée
- Exploitation observée depuis le 11 sept. 2026
- Pas encore dans le catalogue officiel de la CISA
- Première attaque observée 156 jours après la divulgation
Source : VulnCheck KEV · 15 sept. 2026 11 sept. 2026
Score CVSS7.5 / 10
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NType de faiblesse (CWE)CWE-180, CWE-284, CWE-472
Éditeursvitejs, voidzero
Produits concernés
| Éditeurs | Produit | Versions |
|---|---|---|
| vitejs | vite | <= 7.3.1 |
| voidzero | vite\+ | <= 0.1.15 |
Articles liés
This product uses the NVD API but is not endorsed or certified by the NVD.
La description technique est notre traduction du texte original du NVD, en anglais.