Etiqueta: vite

F5 registró en agosto 807 ataques agrupados por sesión y unos 32.000 eventos contra servidores de desarrollo de Vite accesibles desde internet, frente a 1.732 eventos en los tres meses previos. El vector es CVE-2026-39364 (CVSS 4.0 8.2), un bypass de server.fs.deny que devuelve archivos prohibidos con un HTTP 200 cuando se agregan los parámetros ?raw, ?import&raw o ?import&url&inline. Los escaneos buscan .env, credenciales de AWS, perfiles de Azure y terraform.tfstate. Está corregido en Vite 7.3.2 y 8.0.5, y solo afecta si el servidor fue expuesto con –host, server.host o un mapeo de puertos de Docker.