CVE-2025-30208 PoC — Vite bypasses server.fs.deny when using `?raw??`

Source

https://github.com/sadhfdw129/CVE-2025-30208-Vite

Associated Vulnerability

Title:Vite bypasses server.fs.deny when using `?raw??` (CVE-2025-30208)
Description:Vite, a provider of frontend development tooling, has a vulnerability in versions prior to 6.2.3, 6.1.2, 6.0.12, 5.4.15, and 4.5.10. `@fs` denies access to files outside of Vite serving allow list. Adding `?raw??` or `?import&raw??` to the URL bypasses this limitation and returns the file content if it exists. This bypass exists because trailing separators such as `?` are removed in several places, but are not accounted for in query string regexes. The contents of arbitrary files can be returned to the browser. Only apps explicitly exposing the Vite dev server to the network (using `--host` or `server.host` config option) are affected. Versions 6.2.3, 6.1.2, 6.0.12, 5.4.15, and 4.5.10 fix the issue.

Description

CVE-2025-30208 | Vite脚本

Readme

#### CVE-2025-30208 | Vite脚本

本工具用于检测目标系统是否存在 CVE-2025-30208 漏洞。该漏洞允许攻击者通过特定路径读取服务器上的敏感文件（如 /etc/passwd 或 C:\windows\win.ini）。工具支持单个 URL 检测和批量检测，并可选使用 HTTP/HTTPS 代理。

这里介一下payload ?raw??和?import?raw??的关系。第一个payload适用于读取不带后缀的文件，第二个随意了。

##### 功能特性

批量检测：支持从文件中读取多个目标 URL 进行批量检测。

##### 

##### 安装依赖

在运行工具之前，请确保已安装 Python 3 和 requests 库。如果未安装 requests，可以通过以下命令安装：


```
pip install request
```

##### 使用方法

```python checker.py
python checker.py
```



##### 运行后直接就是批量检测1.xls文件内的URL



##### 输出结果

存在漏洞的url保存至URL.txt文件中



##### 文件格式

在批量检测时，确保输入文件中的 URL 格式正确，且每行仅包含一个 URL。



##### 贡献与反馈

如果您发现任何问题或希望改进此工具，请提交联系我。欢迎任何形式的贡献！



##### 免责声明

本工具仅供安全研究和合法授权的渗透测试使用。作者不对任何非法使用行为负责。请遵守相关法律法规。

希望这个模板能够满足您的需求！如果有其他要求，请随时告知请遵守相关法律法规。

希望这个模板能够满足您的需求！如果有其他要求，请随时告知。

File Snapshot

Remarks

1. It is advised to access via the original source first.

2. Local POC snapshots are reserved for subscribers — if the original source is unavailable, the local mirror is part of the paid plan.

View subscription plans →

Goal Reached Thanks to every supporter — we hit 100%!