EXPLOIT PÚBLICOEXPLOTADA ACTIVAMENTE

CVE-2025-31125 Evasión de server.fs.deny con ?import en Vite

Vite expone el contenido de archivos no permitidos usando ?inline&import o ?raw?import. Solo se ven afectadas las aplicaciones que exponen explícitamente el servidor de desarrollo de Vite a la red con --host o server.host. Corregido en 6.2.4, 6.1.3, 6.0.13, 5.4.16 y 4.5.11.

Alerta de Nureq Monitor

Detectada 18 OCT · 16:51

CVSS 3.1

5.3MEDIA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

65,8 % PERCENTIL 99

EXPLOTACIÓN ACTIVA

Sí DESDE 22/01/2026

EXPLOIT PÚBLICO

Sí 1 REPOSITORIO

Qué es CVE-2025-31125

EXPLOTADA ACTIVAMENTELa agencia de ciberseguridad de Estados Unidos (CISA) la incluyó el 22 de enero de 2026 en su catálogo de vulnerabilidades explotadas en ataques reales, con plazo de corrección para organismos federales hasta el 12 de febrero de 2026. Corregirla es prioritario.

Productos y versiones afectadas

vitejs vite
- >= 6.2.0, < 6.2.4
- >= 6.1.0, < 6.1.3
- >= 6.0.0, < 6.0.13
- >= 5.0.0, < 5.4.16
- < 4.5.11

Qué hacer

Verificá si usás vite y en qué versión: el rango afectado figura arriba.
Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
Priorizá la corrección: ya se usa en ataques reales, así que el riesgo de ataque es alto.
Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

L15B04/Exploit-VITE-CVE-2025-30208-CVE-2025-31125 Python-based security assessment tool for detecting exposed Vite development servers, identifying sensitive file exposure, and validating filesystem access control weaknesses in authorized environments.PUBLICADO 18 OCT · 16:51

Calculadora CVSS

CVSS 3.1 · 5.3 MEDIA

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N

VECTOR DE ATAQUE (AV): Red
COMPLEJIDAD DEL ATAQUE (AC): Alta
PRIVILEGIOS REQUERIDOS (PR): Ninguno
INTERACCIÓN DEL USUARIO (UI): Requerida
ALCANCE (S): Sin cambio
CONFIDENCIALIDAD (C): Alta
INTEGRIDAD (I): Ninguna
DISPONIBILIDAD (A): Ninguna

Abrir la calculadora completa

Descripción original

Vite is a frontend tooling framework for javascript. Vite exposes content of non-allowed files using ?inline&import or ?raw?import. Only apps explicitly exposing the Vite dev server to the network (using --host or server.host config option) are affected. This vulnerability is fixed in 6.2.4, 6.1.3, 6.0.13, 5.4.16, and 4.5.11.

Referencias

github.com/vitejs/vite/security/advisories/GHSA-4r4m-qw57-chr8X_REFSOURCE_CONFIRM
github.com/vitejs/vite/commit/59673137c45ac2bcfad1170d954347c1a17ab949X_REFSOURCE_MISC
www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-31125GOVERNMENT-RESOURCE

Historial de la alerta

18 OCT · 16:51EXPLOIT PÚBLICO Se publicó el repositorio L15B04/Exploit-VITE-CVE-2025-30208-CVE-2025-31125.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.