Vite の開発サーバーで非公開ファイルが読める（悪用確認済み）

High（CVSS 7.5）に分類されるVite Viteの脆弱性です。JavaScript のフロントエンド開発ツール Vite の開発サーバーに、公開を許していないファイルの内容が読み出せる欠陥がある。?inline&import や ?raw?import といったクエリを付けたリクエストで、本来配信対象外のファイルの中身が返ってしまう。NVD の記述によれば、影響を受けるのは開発サーバーをネットワークに明示的に公開しているアプリだけで、具体的には --host オプションか server.host 設定を使っている場合である。影響範囲は 4.5.11 未満、5.0.0 以上 5.4.16 未満、6.0.0 以上 6.0.13 未満、6.1.0 以上 6.1.3 未満、6.2.0 以上 6.2.4 未満で、修正版は 6.2.4、6.1.3、6.0.13、5.4.16、4.5.11。CVSS は評価元で割れており、NVD（Primary）は 7.5 High（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N）、CNA の GitHub（Secondary）は 5.3 Medium（AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N）で、攻撃の複雑度と利用者操作の要否の見方が違う。CISA KEV には 2026-01-22 に収載され、是正期限は 2026-02-12。ランサムウェア利用は Unknown（不明）。NVD の vulnStatus は Analyzed。

この脆弱性は本番の成果物ではなく開発サーバーの問題なので、判定は二段構えになる。まず npm ls vite やロックファイルで vite の版を確認し、使っている系列の修正版（4.5.11 / 5.4.16 / 6.0.13 / 6.1.3 / 6.2.4）以上かを見る。次に、開発サーバーを外部インターフェースに公開しているかを確認する。package.json の dev スクリプトに --host が付いていないか、vite.config の server.host が設定されていないかを検索し、公開していなければ影響は受けない。見落としやすいのは、開発機ではなく共有された開発環境で、社内に置いたプレビュー用サーバー、開発コンテナや devcontainer の設定でポートを外に出しているもの、CI でプレビューのために vite dev を起こしているジョブ、クラウド上の開発用 VM で検証のために --host を付けたまま放置しているものである。すぐ更新できない場合の緩和策は明快で、開発サーバーの外部公開をやめること、つまり --host を外して待ち受けをループバックに戻し、必要ならトンネルや SSH ポートフォワード経由でアクセスする形に変える。ネットワーク側でも当該ポートへの外部からの到達を閉じる。KEV 是正期限 2026-02-12 は既に過ぎているため、外部公開されたままの開発サーバーが残っているなら期限超過として扱う。完了条件は、vite が各系列の修正版以上であること、そして開発サーバーを外部公開している箇所が無い（あるいは意図して公開している箇所はアクセス制御の内側にある）ことの二点を確認できた時点である。開発ソースやトークンを含む設定ファイルが読み出された可能性がある環境では、露出していた期間に応じて資格情報の再発行も検討する。

Vite Vite を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-31125）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/02/12 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。