CVE-2025-30208

Vite, un fornitore di strumenti per lo sviluppo frontend, presenta una vulnerabilità nelle versioni precedenti a 6.2.3, 6.1.2, 6.0.12, 5.4.15 e 4.5.10. `@fs` nega l'accesso ai file al di fuori dell'elenco dei percorsi consentiti per la distribuzione di Vite. L'aggiunta di `?raw??` o `?import&raw??` all'URL aggira questa limitazione e restituisce il contenuto del file, se esiste. Questo bypass esiste perché i separatori finali come `?` vengono rimossi in diversi punti, ma non vengono considerati nelle espressioni regolari delle stringhe di query. Il contenuto di file arbitrari può essere restituito al browser. Sono interessate solo le applicazioni che espongono esplicitamente il server di sviluppo Vite alla rete (utilizzando `--host` o l'opzione di configurazione `server.host`). Le versioni 6.2.3, 6.1.2, 6.0.12, 5.4.15 e 4.5.10 risolvono il problema.