Viteは2026年4月6日、開発サーバにおける機密ファイル保護の回避不備の脆弱性 CVE-2026-39364 を公開しました。GitHub Advisory Databaseでは深刻度をHigh、CVSS v4を8.2とし、影響を受けるのはVite 7.1.0から7.3.1までと8.0.0から8.0.4まで、修正版は7.3.2と8.0.5です。公式アドバイザリでは、vite-plus についても0.1.15以前が影響を受け、0.1.16で修正されたと案内されています。
何が起きたか
Viteには、開発サーバから機密ファイルを配信しないための server.fs.deny という仕組みがあります。既定では .env、.env.*、*.crt、*.pem、.git 配下などがdeny対象です。
ところがCVE-2026-39364では、このdeny制御をquery付きリクエストで回避できました。通常は403になるファイルでも、?raw、?import&raw、?import&url&inline などを付けることでHTTP 200で返される状態になっていました。
脆弱性の対象バージョン
今回の脆弱性 CVE-2026-39364 の影響を受けるのは、Vite 7.1.0 から 7.3.1 までと、Vite 8.0.0 から 8.0.4 までです。
対象バージョン
修正版は、7系が 7.3.2、8系が 8.0.5 です。あわせて、関連プロジェクトである vite-plus についても 0.1.15 以前が影響を受け、0.1.16 で修正されています。
7系または8系を利用している環境では、該当バージョンに該当するかどうかをまず確認し、該当していれば速やかに更新する必要があります。
影響を受ける条件
ただし、この脆弱性はすべてのVite環境で即座に成立するものではありません。
影響を受けるには、Vite dev server を --host あるいは server.host でネットワーク公開していること、対象ファイルが server.fs.allow で許可されたディレクトリ内に存在すること、そのファイルが server.fs.deny のパターンに一致すること、という条件がそろう必要があります。
関連記事
Claude Codeでコマンド実行時にdenyが事実上無効化される重大な脆弱性
CISAがVersa・Zimbra・Vite・eslint-config-prettierの脆弱性 悪用確認、2月12日までの是正期限も明記
WindowsのTCP/IP IPv6を使用する全てのシステムに影響を与える緊急度の高い 脆弱性(CVE-2024-38063)
フロントエンドツール Viteで任意ファイルの読み取りが可能な脆弱性(CVE-2025-30208)
キヤノン製プリンタードライバーにバッファオーバーフローの脆弱性(CVE-2025-1268)
Notepad++のアップデータに深刻な脆弱性、更新プロセスを乗っ取られマルウェアが配布される恐れ(CVE-2023-40031)
AWSとGoogle CloudのCLIツールで情報漏洩の脆弱性 LeakyCLIが発生
Microsoft 2026年3月の定例パッチで-公開済みゼロデイ2件とOffice・Excelの脆弱性が修正(CVE-2026-21262,CVE-2026-26127)
MongoDB、複数のDoS・認証バイパス 脆弱性の修正パッチを公開
