CVE-2025-68155— Vite Plugin React 安全漏洞
Possible ATT&CK Techniques 1AI
T1005 · Data from Local System新しい脆弱性情報の通知を購読するログインして購読
I. CVE-2025-68155の基本情報
脆弱性情報
脆弱性についてご質問がありますか？Shenlongの分析が参考になるかご確認ください！
Shenlongの10の質問を表示 ↗ 高度な大規模言語モデル技術を使用していますが、出力には不正確または古い情報が含まれる可能性があります。Shenlongはデータの正確性を確保するよう努めていますが、実際の状況に基づいて検証・判断してください。
脆弱性タイトル
@vitejs/plugin-rsc has Arbitrary File Read via `/__vite_rsc_findSourceMapURL` Endpoint on Development
ソース: CVE Program / CVE List V5
脆弱性説明
@vitejs/plugin-rs provides React Server Components (RSC) support for Vite. Prior to version 0.5.8, the `/__vite_rsc_findSourceMapURL` endpoint in `@vitejs/plugin-rsc` allows unauthenticated arbitrary file read during development mode. An attacker can read any file accessible to the Node.js process by sending a crafted HTTP request with a `file://` URL in the `filename` query parameter. Version 0.5.8 fixes the issue.
ソース: CVE Program / CVE List V5
CVSS情報
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
ソース: CVE Program / CVE List V5
脆弱性タイプ
对路径名的限制不恰当(路径遍历)
ソース: CVE Program / CVE List V5
脆弱性タイトル
Vite Plugin React 安全漏洞
ソース: CNNVD (China National Vulnerability Database)
脆弱性説明
Vite Plugin React是Vite开源的一个插件。 Vite Plugin React 0.5.8之前版本存在安全漏洞，该漏洞源于/__vite_rsc_findSourceMapURL端点存在任意文件读取漏洞。
ソース: CNNVD (China National Vulnerability Database)
CVSS情報
N/A
ソース: CNNVD (China National Vulnerability Database)
脆弱性タイプ
N/A
ソース: CNNVD (China National Vulnerability Database)
影響を受ける製品
| ベンダー | プロダクト | 影響を受けるバージョン | CPE | 購読 |
|---|---|---|---|---|
| vitejs | vite-plugin-react | < 0.5.8 | - |
II. CVE-2025-68155の公開POC
| # | POC説明 | ソースリンク | Shenlongリンク |
|---|
AI生成POCプレミアム
Qwen3.6-35B-A3B · 5305 文字数
Pro+限定の内容：
脆弱性再現の録画（実際のサンドボックス構築 + トリガー、限定）
脆弱性の原理を深く分析
トリガー条件と影響範囲
完全な実行可能POCコード
攻撃チェーンと緩和策の提案
POCパッケージのダウンロード
月間100件以上のAI生成枠
III. CVE-2025-68155のインテリジェンス情報
请登录查看更多情报信息。
CVE-2025-68155 补丁与修复 (3)
- https://github.com/facebook/react/pull/30741x_refsource_MISC
- https://github.com/facebook/react/pull/29708x_refsource_MISC
CVE-2025-68155 厂商安全公告 (1)
IV. 関連脆弱性
同じベンダー: vitejs
- CVE-2026-53571
Vite: `server.fs.deny` bypass on Windows alternate paths - CVE-2026-53632
NTLMv2 hash disclosure via UNC path handling on Windows - CVE-2024-52011
launch-editor vulnerable to command injection via the crafte - CVE-2026-39365
Vite has a Path Traversal in Optimized Deps `.map` Handling - CVE-2026-39364
Vite has a `server.fs.deny` bypass with queries
同じ弱点: CWE-22
- CVE-2026-13339
CubeWP Framework <= 1.1.30 - Unauthenticated Arbitrary File - CVE-2026-18352
User Access Manager <= 2.3.15 - Unauthenticated Arbitrary Fi - CVE-2026-67295
FreeRDP before 3.29.0 Path Traversal via drive redirection - CVE-2026-67309
Traefik v3.7.0 Path Traversal via RewriteTarget Authenticati - CVE-2026-15450
NEX-Forms <= 9.2.3 - Authenticated (Admin+) Arbitrary File
V. CVE-2025-68155へのコメント
まだコメントはありません