Vite任意文件读取漏洞 （CVE-2025-31486）
💡
原文中文，约1800字，阅读约需5分钟。
📝
内容提要
绿盟科技CERT监测到Vite存在任意文件读取漏洞（CVE-2025-31486），攻击者可通过特定URL绕过路径限制。受影响版本为2.0至6.2.4，建议用户尽快升级或限制访问以防护。绿盟科技已提供检测工具和服务，建议用户及时排查风险。
🎯
关键要点
-
绿盟科技CERT监测到Vite存在任意文件读取漏洞（CVE-2025-31486）。
-
攻击者可通过特定URL绕过路径限制，读取目标服务器上的任意文件。
-
受影响版本为2.0至6.2.4，建议用户尽快升级或限制访问以防护。
-
绿盟科技已提供检测工具和服务，建议用户及时排查风险。
-
用户可通过查看当前Vite版本或使用命令行检测漏洞。
-
绿盟科技的自动化渗透测试工具（EZ）支持Vite的漏洞风险检测。
-
绿盟科技外部攻击面管理服务（EASM）支持互联网资产排查。
-
用户可通过CTEM解决方案主动发现和排查Vite相关资产的漏洞风险。
-
官方已发布新版本修复此漏洞，受影响用户应尽快升级。
-
如无法升级，用户可临时限制Vite开发服务器的访问以缓解风险。
❓
延伸问答
Vite的任意文件读取漏洞是什么？
Vite的任意文件读取漏洞（CVE-2025-31486）允许攻击者通过特定URL绕过路径限制，读取目标服务器上的任意文件。
哪些版本的Vite受到此漏洞影响？
受影响的Vite版本包括2.0至6.2.4，以及其他一些早期版本。
如何检测我的Vite是否受到此漏洞影响？
用户可以通过查看当前Vite版本或使用命令行运行'vite -v'命令来检测是否受影响。
如果无法升级Vite，我该如何防护？
用户可以临时限制Vite开发服务器的访问，以缓解风险。
绿盟科技提供了哪些工具来帮助检测此漏洞？
绿盟科技提供了自动化渗透测试工具（EZ）和外部攻击面管理服务（EASM）来帮助检测此漏洞。
如何获取Vite的最新版本以修复漏洞？
用户可以访问Vite的GitHub页面下载最新版本以修复此漏洞。
➡️
