フロントエンドツール Viteで任意ファイルの読み取りが可能な脆弱性(CVE-2025-30208)

フロントエンドツール  Vite(ヴィート)で任意ファイル読み取りが可能な脆弱性(CVE-2025-30208)が発見されました。特定バージョンかつVite 開発サーバーをネットワークに明示的に公開している場合が対象になります。

脆弱性の対象バージョン

Vite 開発サーバーをネットワークに明示的に公開するアプリケーション、–hostまたはserver.host 構成オプションを使用している場合かつ以下バージョン

• 6.2.0 ～ 6.2.2

• 6.1.0 ～ 6.1.1

• 6.0.0 ～ 6.0.11

• 5.0.0 ～ 5.4.14

• 4.0.0 ～ 4.5.9

脆弱性の対策バージョン

• 6.2.3 以降

• 6.1.2（6.2.0 未満）

• 6.0.12（6.1.0 未満）

• 5.4.15（6.0.0 未満）

• 4.5.10（5.0.0 未満）

脆弱性の概要

対象バージョンに記載している通り、Vite 開発サーバーをネットワークに公開している場合のみ影響が発生します。

?raw?? や ?import&raw?? といった特殊なクエリ文字列を付与することで、Viteが内部で行っているパス制限処理をすり抜けてしまい、任意ファイルの中身をブラウザ経由で取得できるという深刻な問題があります。。

GitHubには既にPoCも公開されており、対象者は早急にアップデートする事をお勧めします。