🇰🇷 한글 설명
Vite 프론트엔드 도구의 특정 버전에서 Windows 환경의 개발 서버 사용 시 server.fs.deny 설정으로 차단된 파일이 URL 끝에 백슬래시(\)를 추가하면 전송되는 취약점이 발견되었습니다. 이 문제는 네트워크에 Vite 개발 서버를 노출한 상태에서 Windows 운영체제를 사용할 때만 발생합니다.
💡 쉬운 설명
윈도우 컴퓨터에서 개발 도구를 사용할 때, 원래는 보여주면 안 되는 중요한 파일이 특수한 주소 형식을 통해 유출될 수 있는 문제입니다. 개발 서버를 외부 네트워크에 공개해 둔 경우에만 위험합니다.
🇺🇸 원문 (English)
Vite is a frontend tooling framework for JavaScript. In versions from 2.9.18 to before 3.0.0, 3.2.9 to before 4.0.0, 4.5.3 to before 5.0.0, 5.2.6 to before 5.4.21, 6.0.0 to before 6.4.1, 7.0.0 to before 7.0.8, and 7.1.0 to before 7.1.11, files denied by server.fs.deny were sent if the URL ended with \ when the dev server is running on Windows. Only apps explicitly exposing the Vite dev server to the network and running the dev server on Windows were affected. This issue has been patched in versions 5.4.21, 6.4.1, 7.0.8, and 7.1.11.
📍 영향받는 시스템
Vite 2.9.18~3.0.0, 3.2.9~4.0.0, 4.5.3~5.0.0, 5.2.6~5.4.21, 6.0.0~6.4.1, 7.0.0~7.0.8, 7.1.0~7.1.11
⚔️ 공격 벡터
Windows 환경의 Vite 개발 서버에 접근하여 URL 끝에 백슬래시(\)를 붙여 차단된 파일에 접근하는 방식
🛡️ 대응 방법
Vite를 최신 패치 버전인 5.4.21, 6.4.1, 7.0.8 또는 7.1.11 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Vite의 버전이 취약한 버전 범위에 포함되는지 확인합니다.
npm list vite | grep vite