Vite: Pierwsze 4 bajtów plików spoza ustawienia `server.fs` jest ujawniane przez `?vite-wasm-instance`

Podsumowanie

Pierwsze 4 bajtów plików znajdujących się poza ustawieniem server.fs może zostać zwrócone do przeglądarki za pośrednictwem żądania zawierającego ?vite-wasm-instance.

Wpływ

Problem dotyczy wyłącznie aplikacji spełniających następujące warunki:

• Serwer deweloperski Vite jest bezpośrednio wystawiony na sieć za pomocą --host lub opcji server.host.
• Istnieje plik zawierający poufne informacje w swoich pierwszych 4 bajtach.
• Do uruchomienia Vite używane jest środowisko Node.js lub Deno (użycie Bun nie jest podatne).

Szczegóły

Żądania zawierające parametr ?vite-wasm-instance są obsługiwane przez hook load wewnętrznej wtyczki Wasm. Hook ten usuwa parametr i odczytuje wynikową ścieżkę bezpośrednio z dysku, jednak mechanizmy sprawdzania server.fs nie były stosowane.

Po odczytaniu pliku Vite próbuje przetworzyć go jako WebAssembly. W przypadku niepowodzenia parsowania Node.js oraz Deno zgłaszają błąd zawierający pierwsze 4 bajtów tego pliku.

PoC

Utwórz zablokowany plik i uruchom podatny serwer deweloperski Vite:

echo 'SECRET_KEY=abc123\n' > .env
npm run dev
curl 'http://localhost:5173/.env?vite-wasm-instance'

Spowoduje to wyświetlenie:

Failed to parse WASM file "<root>/.env": WebAssembly.compile(): expected magic word 00 61 73 6d, found 53 45 43 52 @+0