Vite: Los primeros 4 bytes de archivos fuera de la configuración `server.fs` quedan expuestos por `?vite-wasm-instance`
Resumen
Los primeros 4 bytes de archivos fuera de la configuración server.fs pueden devolverse al navegador mediante una solicitud que contenga ?vite-wasm-instance.
Impacto
Solo se ven afectadas las aplicaciones que cumplan las siguientes condiciones:
- El servidor de desarrollo de Vite se expone explícitamente a la red mediante
--hosto la opciónserver.host. - Existe un archivo que contiene información confidencial en sus primeros 4 bytes.
- Vite se ejecuta con Node.js o Deno (el uso de Bun no se ve afectado).
Detalles
Las solicitudes que contienen la consulta ?vite-wasm-instance son procesadas por el hook load del complemento Wasm interno. Este hook elimina la consulta y lee la ruta resultante directamente del disco, pero las comprobaciones de server.fs no se aplicaban.
Tras leer el archivo, Vite intenta analizarlo como WebAssembly. Cuando este análisis falla, Node.js y Deno generan un error que incluye los primeros 4 bytes del archivo.
PoC
Cree un archivo denegado e inicie un servidor de desarrollo de Vite afectado:
echo 'SECRET_KEY=abc123\n' > .env
npm run dev
curl 'http://localhost:5173/.env?vite-wasm-instance'Esto mostrará:
Failed to parse WASM file "<root>/.env": WebAssembly.compile(): expected magic word 00 61 73 6d, found 53 45 43 52 @+0Qué hacer
Actualice Vite a la versión 8.2.4, 8.3.3 o posterior, y actualice vite-plus a la versión 1.1.0 o posterior.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | vite | >= 8.3.0, < 8.3.3, >= 8.2.0, < 8.2.4 | 8.3.3, 8.2.4 |
| Paquete de npm | vite-plus | >= 0.2.8, < 1.1.0 | 1.1.0 |
Referencias
- https://github.com/vitejs/vite/security/advisories/GHSA-vfpm-58rq-9qcg
- https://nvd.nist.gov/vuln/detail/CVE-2026-112947
- https://github.com/vitejs/vite/pull/23655
- https://github.com/vitejs/vite/commit/b6c6d2fb3f853aab4092dc25f0d6816a96c23dff
- https://github.com/vitejs/vite/commit/ba8b7ab43b4afa5d0292ab4b6e3a7b5033cc9c73
- https://github.com/vitejs/vite
- Vector CVSS
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N- Debilidad (CWE)
CWE-200, CWE-209, CWE-22- Plataforma
- npm
- Paquete
vite, vite-plus- Publicada
- 21.10.2026
- Actualizado
- 22.10.2026 10:00
Fuentes y licencias · Editado o traducido por DockRay; se mantienen los derechos y las licencias de las fuentes.
OSV / GitHub Advisory Database - GHSA-vfpm-58rq-9qcg - CC BY 4.0
Historial de vulnerabilidades: vite-plus
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 9
- Primera → última
- 04.2026 10.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 1
- Alta 3
- Media 4
- Baja 1
Divulgaciones por año
- 2026: 9
-
Vite: Los primeros 4 bytes de archivos fuera de la configuración `server.fs` quedan expuestos por `?vite-wasm-instance` esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.