CVE-2026-53571 — Vite, JavaScript için bir ön uç araç çerçevesidir.
Vite, JavaScript için bir ön uç araç çerçevesidir. 8.0.16, 7.3.5 ve 6.4.3 öncesinde, server.fs.deny ile belirtilen dosyaların içerikleri Windows üzerinde tarayıcıya döndürülebilir. Vite’in geliştirme sunucusu server.fs.deny aracılığıyla .env, .env.*, ve *.{crt,pem} gibi girdileri içeren hassas dosyalara doğrudan erişimi reddeder. Ancak Windows’ta deny mantığı NTFS ADS yol biçimlerini erişim kontrolleri uygulanmadan önce doğru şekilde normalleştirmez. Bunun sonucunda, böyle istekler
Platform
Windows Server
CVE Kaydı
CVE-2026-53571
CVSS Skoru
8.2/10
Yayın Tarihi
22 Haziran 2026
Okunma
40
Birincil kaynak: Kaynaktaki resmî duyuruyu inceleyin: nvd.nist.gov
Kaynağa Git
Özet
Vite, JavaScript için bir ön uç araç çerçevesidir. 8.0.16, 7.3.5 ve 6.4.3 öncesinde, server.fs.deny ile belirtilen dosyaların içerikleri Windows üzerinde tarayıcıya döndürülebilir. Vite’in geliştirme sunucusu server.fs.deny aracılığıyla .env, .env.*, ve *.{crt,pem} gibi girdileri içeren hassas dosyalara doğrudan erişimi reddeder. Ancak Windows’ta deny mantığı, erişim kontrolleri uygulanmadan önce NTFS ADS yol biçimlerini doğru şekilde normalleştirmez. Bunun sonucunda, \/.env::$DATA?raw gibi istekler izin verilen yollar olarak değerlendirilirken, Windows bunları orijinal dosyanın varsayılan veri akışına çözer. Benzer şekilde, Windows 8.3 kısa ad uyumluluk özelliği ile farklı bir ad kullanarak bir dosyaya erişime izin verir. Vite bu yollarla dosyalara erişimi reddetmedi. Bu güvenlik açığı 8.0.16, 7.3.5 ve 6.4.3 sürümlerinde giderilmiştir.
Microsoft Windows Advanced Local Procedure Call, bir saldırıcının yerel olarak ayrıcalık yükseltmesine olanak tanıyan heap-tabanlı bir bellek taşması zafiyeti içerir.