החולשה הזאת אינה נמצאת באתר שפרסמתם. היא נמצאת בשרת הפיתוח, זה שרץ על המחשב של המתכנת בזמן העבודה ומגיש את הקבצים לדפדפן. ברוב המקרים הוא מאזין רק למחשב עצמו, ואז אין כאן כלום. מי שהריץ אותו פתוח לרשת הוא הנושא של הדף הזה.

מה החולשה?

שרת הפיתוח של Vite מגיש קבצים מתוך הפרויקט, ויש לו הגדרה של מה מותר להגיש ומה לא. הגבול הזה קיים כי בתיקיית פרויקט יש גם דברים שלא אמורים להגיע לדפדפן.

מה שהרשומה מתארת הוא שאפשר לעקוף את הגבול הזה בעזרת תוספת לכתובת. הוספה של ?inline&import או של ?raw?import לסוף הכתובת גרמה לשרת להחזיר את התוכן של קבצים שהיו מחוץ לרשימת המותרים. מבחינת הדפדפן זו בקשה רגילה לגמרי, ומה שקבע את התשובה היה הצורה שבה נשאלה השאלה.

זו חשיפת מידע, לא הרצת קוד. הציון 5.3 מסמן את זה, ומסמן גם שהניצול אינו טריוויאלי: הדירוג מציין מורכבות תקיפה גבוהה, ופעולה שנדרשת ממשתמש. הרשומה מדברת על תוכן של קבצים שאינם ברשימת המותרים, בלי לפרט אילו. מה יש בתיקייה שלכם, אתם יודעים.

מי מושפע?

הרשומה מונה חמישה קווי גרסאות ואת הגרסה שמתקנת בכל אחד מהם: לפני 4.5.11, סדרה 5 לפני 5.4.16, סדרה 6.0 לפני 6.0.13, סדרה 6.1 לפני 6.1.3, וסדרה 6.2 לפני 6.2.4.

אבל התנאי השני הוא זה שקובע. הרשומה אומרת במפורש שרק מי שחשף את שרת הפיתוח לרשת מושפע, כלומר מי שהריץ אותו עם --host או עם ההגדרה server.host. בלי זה השרת מאזין למחשב המקומי בלבד, ואף אחד מהרשת לא יכול לפנות אליו.

מתי בכל זאת מריצים ככה: כשרוצים לפתוח את האתר שבפיתוח מהטלפון, או להראות אותו למישהו אחר באותה רשת. זה שימוש לגיטימי ונפוץ, ובדיוק בו נפתחת החשיפה. רשת משרדית משותפת או רשת אלחוטית ציבורית הן ההקשר שבו זה משנה.

Vite יושב מתחת להמון פרויקטי צד לקוח, ולכן קהל המפתחים כאן גדול. קהל החשופים בפועל קטן בהרבה, ושאלה אחת מפרידה ביניהם.

האם מנוצלת בפועל?

כן. ב-22 בינואר 2026 צורפה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, שמכניסה לשם חולשות שיש עדות לניצול שלהן בפועל. מועד התיקון לגופים הפדרליים בארצות הברית נקבע ל-12 בפברואר 2026.

מה עושים?

בדקו איזו גרסה של Vite מותקנת אצלכם. בתיקיית הפרויקט, npm ls vite מציג את מה שמותקן בפועל, שהוא לא תמיד מה שכתוב ב-package.json.

עדכנו לגרסה המתקנת בקו שלכם: 4.5.11, 5.4.16, 6.0.13, 6.1.3 או 6.2.4. הודעת האבטחה של Vite מפרטת אותן, והתיקון עצמו מקושר ממנה.

בדקו אם אתם בכלל מריצים עם --host או עם server.host בקובץ ההגדרות. אם לא, לא הייתם חשופים גם לפני העדכון, וזו תשובה שלמה.

ואם כן, שאלו אם אתם צריכים את זה כל הזמן. שרת פיתוח שמאזין רק למחשב שלכם הוא ברירת המחדל מסיבה טובה, והדלקה שלו לרשת רק כשבאמת צריך היא הרגל ששווה לאמץ בלי קשר לחולשה הזאת.