Vitejs の脆弱性（CVE-2025-31125）

何が起きた

JavaScript の開発に使う道具の Vite で、開発用サーバー（dev server）が、本来見せてはいけないファイルの中身を返してしまう弱点が見つかりました。URL の末尾に「?inline&import」や「?raw?import」を付けると、許可されていないファイルの中身が読めてしまいます。攻撃者はネットワーク経由で、ログインの権限も利用者の操作もなしに悪用できるとされています。実際に悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Vite の開発用サーバーを、--host や server.host の設定でネットワークに公開しているアプリが対象です。影響を受けるのは、6.2.4、6.1.3、6.0.13、5.4.16、4.5.11 より前のそれぞれのバージョンです。

何をすればいい

使っている Vite を、6.2.4、6.1.3、6.0.13、5.4.16、4.5.11 のうち該当する系統の修正版以降に更新されているか確認してください。修正版は、それぞれの系統の続きとして公開されています。あわせて公式の案内を確認してください。

やることチェックリスト

• Vite を系統ごとの修正版以降に更新する
• 6.2 系は 6.2.4 以降、5.x 系は 5.4.16 以降にする
• --host や server.host の設定の有無を確認する

用語メモ

開発用サーバー

アプリを作っている途中で、動きを確かめるために手元で動かす簡易のサーバーです。

URL 用語集で見る

インターネット上のページやファイルの場所を示す住所のような文字列です。