Vite CVE-2025-30208: Zugriff auf beliebige Dateien durch ?raw??-Bypass

In mehreren Versionen des beliebten Build-Tools Vite wurde eine Sicherheitslücke (CVE-2025-30208) entdeckt, durch die die Zugriffsbeschränkungen des @fs-Moduls umgangen werden können. Durch Anhängen der Parameter ?raw?? oder ?import&raw?? an eine URL lassen sich beliebige Dateien außerhalb der eigentlich erlaubten Verzeichnisse im Browser anzeigen – darunter auch sensible Systemdateien.

Betroffen sind alle Vite-Versionen bis einschließlich 6.2.2, 6.1.1, 6.0.11, 5.4.14 sowie 4.5.9. Das Problem tritt nur auf, wenn der Vite-Entwicklungsserver mit aktivierter --host-Option (bzw. server.host in der Konfiguration) öffentlich zugänglich gemacht wird. Ursache ist, dass Vite beim Parsen der URL bestimmte abschließende Zeichen wie ? entfernt, ohne sie korrekt in den Regex-Prüfungen der Zugriffskontrollen zu berücksichtigen.

Ein Proof-of-Concept zeigt, dass eine URL wie http://localhost:5173/@fs/tmp/secret.txt?import&raw?? statt einer erwarteten 403-Fehlermeldung den tatsächlichen Inhalt der Datei im Klartext zurückliefert.

Die Schwachstelle wurde mit einem CVSS-Score von 5.4 (Moderat) eingestuft. Ein Patch steht ab Version 6.2.3 (sowie in älteren Hauptversionen entsprechend aktualisiert) zur Verfügung. Nutzer sollten ihre Vite-Installation umgehend aktualisieren, wenn sie den Dev-Server öffentlich zugänglich machen.

Tags :

Related Posts

VMware-VM-Exploits fĂĽhren zu Hypervisor-Kontrolle und Ransomware-Angriffen

Am 19. März 2025 veröffentlichte Sicherheitsexperte Nital Ruzin eine brisante Analyse zu aktiven Angriffen auf VMware-Umgebungen. Die Ausnutzung dreier kritischer Schwachstellen (CVE-2025-22224, -22225, -22226) ermöglicht sogenannten VM Escapes, bei denen Angreifer aus einer kompromittierten virtuellen Maschine ausbrechen und Kontrolle über den Hypervisor (ESXi) erlangen – eine Eintrittskarte für die großflächige Ransomware-Verteilung.

Read More

Ghostscript 10.05.0 fixt mehrere kritische SicherheitslĂĽcken

Am 12. März 2025 hat Artifex Software die neue Version Ghostscript 10.05.0 veröffentlicht. Neben funktionalen Verbesserungen behebt das Update gleich acht schwerwiegende Sicherheitslücken (CVE-2025-27830 bis CVE-2025-27837), von denen mehrere als kritisch eingestuft werden. Nutzer*innen von Ghostscript werden dringend aufgefordert, zeitnah auf die neueste Version zu aktualisieren. Alle Schwachstellen basieren auf klassischen Pufferüberläufen (CWE-120), mit Ausnahme von CVE-2025-27837, der ein Path Traversal-Problem (CWE-22) darstellt. Angreifer könnten mit präparierten Eingaben Code ausführen oder auf unautorisierte Dateien zugreifen.

Read More

CVE-2024-10441 – Remote Code Execution in Synology-Produkten

Eine kritische Sicherheitslücke (CVE-2024-10441) wurde in mehreren Synology-NAS Produkten entdeckt. Die Schwachstelle beruht auf unzureichendem Encoding bzw. Escaping von Ausgaben im System-Plugin-Daemon, was es Angreifern ermöglicht, per Remote Code Execution beliebigen Code auszuführen. Betroffen sind Synology DiskStation Manager (DSM), Unified Controller (DSMUC) und BeeStation Manager (BSM) in älteren Versionen – beispielsweise DSM vor 7.2.2‑72806‑1, DSMUC vor 3.1.4‑23079 und BSM vor 1.1‑65374. Mit einem CVSS v3.1 Basis-Score von 9.8 ist diese Schwachstelle als kritisch einzustufen. Nutzer werden dringend aufgefordert, ihre Systeme auf die entsprechenden Fix-Versionen zu aktualisieren.

Read More