CVE-2025-31125
Vite Vitejs Improper Access Control Vulnerability
Beschreibung
CVE-2025-31125 ist eine Schwachstelle zur Offenlegung sensibler Informationen im Frontend-Build-Tool Vite (Vitejs). Durch die Nutzung der Query-Parameter ?inline&import oder ?raw?import koennen nicht zugelassene Dateien ueber den Vite-Entwicklungsserver exponiert werden. Mit einem CVSS-Score von 5.3 (MEDIUM) und einem EPSS-Score von 62,36 % (98,3. Perzentil) weist die Schwachstelle trotz ihres moderaten Schweregrads eine sehr hohe Ausnutzungswahrscheinlichkeit auf. Die CISA hat CVE-2025-31125 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 12. Februar 2026. Betroffen sind Vite-Versionen vor 4.5.11, 5.4.16, 6.0.13, 6.1.3 und 6.2.4. Nur Anwendungen, die den Vite-Entwicklungsserver explizit im Netzwerk exponieren (--host oder server.host), sind gefaehrdet.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:NIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| vitejs | vite | < 4.5.11; >= 5.0.0, < 5.4.16; >= 6.0.0, < 6.0.13; >= 6.1.0, < 6.1.3; >= 6.2.0, < 6.2.4 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Referenzen
Schwachstellentyp
CWE-200: Exposure of Sensitive Information to an Unauthorized Actor
CWE-200 (Exposure of Sensitive Information to an Unauthorized Actor) beschreibt eine Schwachstellenklasse, bei der eine Anwendung sensible Informationen an Akteure weitergibt, die nicht zum Zugriff auf diese Daten berechtigt sind. Im Fall von CVE-2025-31125 koennen Dateien, die eigentlich nicht vom Entwicklungsserver bereitgestellt werden sollten, ueber spezielle Query-Parameter abgerufen werden.
CWE-284: Improper Access Control
CWE-284 (Improper Access Control) beschreibt eine Schwachstellenklasse, bei der Zugriffskontrollmechanismen nicht korrekt implementiert sind oder umgangen werden koennen. Vite implementiert Einschraenkungen, welche Dateien vom Entwicklungsserver bereitgestellt werden duerfen. Diese Zugriffskontrolle wird durch die speziellen Import-Parameter umgangen. Mehr erfahren
Auswirkungsanalyse
Offenlegung von Quellcode und Konfigurationsdateien: Die primaere Auswirkung ist die Moeglichkeit, Dateien vom Entwicklungsserver abzurufen, die normalerweise nicht zugaenglich sein sollten. Vertraulichkeit (C:H) ist maximal betroffen: Exponierte Dateien koennen Quellcode, Umgebungsvariablen (.env-Dateien), API-Schluessel, Datenbank-Zugangsdaten und andere sensible Konfigurationen enthalten. Integritaet und Verfuegbarkeit sind nicht direkt betroffen.
Eingeschraenkter Angriffsvektor: Die Ausnutzung erfordert hohe Komplexitaet (AC:H) und eine Benutzerinteraktion (UI:R), was die praktische Ausnutzbarkeit einschraenkt. Nur Vite-Entwicklungsserver, die explizit im Netzwerk exponiert sind (ueber --host oder die Konfigurationsoption server.host), sind betroffen. Lokale Entwicklungsinstanzen, die nur auf localhost hoeren, sind nicht gefaehrdet.
EPSS und Ransomware: Trotz des moderaten CVSS-Scores weist CVE-2025-31125 einen EPSS-Score von 62,36 % (98,3. Perzentil) auf, was eine extrem hohe Ausnutzungswahrscheinlichkeit signalisiert. Dies ist auf die enorme Verbreitung von Vite als Build-Tool zurueckzufuehren. Der Ransomware-Status ist Unknown. Die Schwachstelle eignet sich primaer zur Informationsgewinnung als Vorbereitung fuer weitergehende Angriffe.
Exploit-Reifegrad
CVE-2025-31125 weist eine hohe Exploit-Reife auf. Das Vite-Sicherheitsteam hat die Schwachstelle unter GHSA-4r4m-qw57-chr8 dokumentiert, einschliesslich Exploit-Details. Die Aufnahme in den CISA KEV-Katalog bestaetigt die aktive Ausnutzung in freier Wildbahn. Ein Patch ist unter GitHub Commit verfuegbar.
EPSS-Kontext: Der EPSS-Score von 62,36 % (98,3. Perzentil) ist fuer eine MEDIUM-Schwachstelle ungewoehnlich hoch. Dies erklaert sich durch die enorme Verbreitung von Vite als Build-Tool in der JavaScript-Oekosystem und die Einfachheit der Ausnutzung (einfache URL-Manipulation).
Verbreitung: Vite ist eines der am weitesten verbreiteten Frontend-Build-Tools mit Millionen woechentlicher Downloads auf npm. Obwohl nur netzwerkexponierte Entwicklungsserver betroffen sind, kann die Anzahl verwundbarer Instanzen in Cloud-Entwicklungsumgebungen, CI/CD-Pipelines und Container-basierten Entwicklungssetups erheblich sein.
Ransomware-Verbindung: Der Ransomware-Status ist Unknown. Die Schwachstelle wird primaer zur Informationsgewinnung genutzt und stellt kein direktes Ransomware-Risiko dar, kann aber als Einstiegspunkt fuer weitergehende Angriffe dienen.
Behebung
- Vite auf die gepatchte Version aktualisieren: Aktualisieren Sie Vite auf eine der folgenden Mindestversionen: 4.5.11, 5.4.16, 6.0.13, 6.1.3 oder 6.2.4. Fuehren Sie
npm update viteodernpm install vite@latestaus, um auf die neueste Version Ihres Versionszweigs zu aktualisieren. - Netzwerkexposition pruefen: Ueberpruefen Sie, ob Ihre Vite-Entwicklungsserver mit --host oder server.host konfiguriert sind. Falls ja, stellen Sie sicher, dass der Zugriff durch Firewall-Regeln oder VPN auf autorisierte Entwickler beschraenkt ist. Entfernen Sie die Netzwerkexposition, wenn sie nicht benoetigt wird.
- CI/CD-Pipelines pruefen: Falls Vite-Entwicklungsserver in CI/CD-Pipelines oder Cloud-Entwicklungsumgebungen laufen, stellen Sie sicher, dass diese nicht oeffentlich erreichbar sind und aktualisieren Sie die Vite-Version in Ihren Projektabhaengigkeiten.
- Sensible Dateien pruefen: Ueberpruefen Sie, ob .env-Dateien, Konfigurationsdateien oder andere sensible Daten im Projektverzeichnis liegen, die ueber den Entwicklungsserver haeufig exponiert werden koennten. Rotieren Sie exponierte API-Schluessel und Zugangsdaten.
- Entwicklungsumgebungen haerten: Verwenden Sie grundsaetzlich keine Entwicklungsserver in Produktionsumgebungen. Fuer lokale Entwicklung ist die Standardkonfiguration (nur localhost) ausreichend und sicher.
Technische Details
Die Schwachstelle liegt in der Dateiaufloesung des Vite-Entwicklungsservers. Vite implementiert Zugriffskontrolllisten, die bestimmen, welche Dateien ueber den Entwicklungsserver bereitgestellt werden duerfen. Die Query-Parameter ?inline&import und ?raw?import werden normalerweise intern von Vite verwendet, um Dateien als Inline-Inhalte oder Rohtext zu importieren. Durch die direkte Verwendung dieser Parameter in URL-Anfragen an den Entwicklungsserver wird die Zugriffskontrolle umgangen.
CVSS-Vektor im Detail: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N - Der Angriff erfolgt netzwerkbasiert (AV:N), erfordert jedoch hohe Komplexitaet (AC:H) und eine Benutzerinteraktion (UI:R). Der Angreifer muss wissen, welche Dateien auf dem Server existieren, und der Entwicklungsserver muss im Netzwerk exponiert sein. Nur die Vertraulichkeit ist maximal betroffen (C:H), waehrend Integritaet (I:N) und Verfuegbarkeit (A:N) nicht beeintraechtigt werden.
Angriffsmechanismus: Ein Angreifer sendet eine HTTP-Anfrage an den Vite-Entwicklungsserver mit einer URL wie http://host:port/path/to/file?inline&import oder http://host:port/path/to/file?raw?import. Vite verarbeitet die Anfrage als internen Import und liefert den Dateiinhalt zurueck, auch wenn die Datei normalerweise durch die Zugriffskontrolle blockiert wuerde. Dies ermoeglicht das Auslesen von .env-Dateien, Konfigurationsdateien und Quellcode.
Betroffene Versionen: Vite vor 4.5.11, 5.0.0 bis 5.4.15, 6.0.0 bis 6.0.12, 6.1.0 bis 6.1.2 und 6.2.0 bis 6.2.3.
Häufig gestellte Fragen
Betrifft CVE-2025-31125 meine lokale Entwicklungsumgebung?
Nur wenn Sie den Vite-Entwicklungsserver mit --host gestartet oder server.host in der Konfiguration auf eine Netzwerkadresse gesetzt haben. Die Standardkonfiguration (nur localhost) ist nicht betroffen, da ein Angreifer keinen Netzwerkzugang zum lokalen Entwicklungsserver hat.
Warum hat eine MEDIUM-Schwachstelle einen so hohen EPSS-Score?
Der EPSS-Score von 62,36 % spiegelt die enorme Verbreitung von Vite wider (Millionen woechentlicher npm-Downloads) und die Einfachheit der Ausnutzung (einfache URL-Manipulation). Obwohl die Voraussetzungen (netzwerkexponierter Entwicklungsserver) die Angriffsoberflaeche einschraenken, ist die Gesamtzahl potenziell verwundbarer Instanzen sehr hoch.
Sind Produktionsbuilds von Vite betroffen?
Nein, die Schwachstelle betrifft ausschliesslich den Vite-Entwicklungsserver. Produktionsbuilds, die mit vite build erstellt werden, sind nicht betroffen, da der Entwicklungsserver in der Produktion nicht laeuft.
Welche Dateien koennen ueber die Schwachstelle ausgelesen werden?
Prinzipiell alle Dateien im Projektverzeichnis und darueber hinaus, die der Vite-Serverprozess lesen kann. Besonders kritisch sind .env-Dateien mit API-Schluesseln und Datenbank-Zugangsdaten, Konfigurationsdateien und Quellcode.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.