GitHub Advisory Databaseに、Viteの開発サーバーに関する脆弱性3件が掲載されています。特定の構成で、開発画面に外部スクリプトを実行させたり、許可範囲外のファイルを露出させたりする恐れがあります。資料には公開日の記載がなく、利用の有無だけでなく、設定と実行環境による切り分けが必要です。
開発画面で外部スクリプトが動く条件
CVE-2026-112945は、Viteの開発サーバーが動いている間に悪意あるサイトを閲覧すると、開発画面で外部スクリプトを実行させられる可能性がある問題です。
影響条件は、ブラウザーからの要求URLを変更せずにserver.transformIndexHtmlへ渡し、変換後のHTMLにインラインのモジュールスクリプトが含まれる構成です。通常はserver.middlewareMode: trueまたはappType: 'custom'の構成が該当します。開発画面のスクリプトから機密値にアクセスできたり、重要な操作を行えたりするアプリが影響対象です。
一方、appType: 'spa'と'mpa'の内部呼び出しは、この影響条件に該当しません。ただし、この除外条件を残る2件にも当てはめることはできません。
ファイル露出の2件は公開設定と実行環境を確認
CVE-2026-112946は、許可範囲外のファイルが露出する可能性がある問題です。対象は、--hostまたはserver.hostで開発サーバーをネットワークに明示公開しているアプリです。
さらに、インポート先のルート相対URLが、ホスト上で読み取れるファイルの絶対パスと一致し、その機密ファイルがserver.fs.denyの対象外であることが条件です。Windows上で動く開発サーバーは、この問題の影響対象外です。
CVE-2026-112947では、?vite-wasm-instance付きの要求を処理する際にserver.fsの検査が欠け、制限範囲外のファイルの先頭4バイトが露出する可能性があります。Node.jsやDenoの解析エラーに、その内容が含まれるためです。明示的なネットワーク公開や、先頭4バイトに機密情報がある場合が影響条件として挙げられています。BunでViteを実行する場合は影響しないとされています。
資料では、CVE-2026-112945はVite 8.2.1、CVE-2026-112946はVite 8.3.1で再現されています。これらは修正版の案内ではありません。修正版と影響する版の全範囲は、今回の資料には書かれていません。日本での提供は発表には書かれていません。
影響する会社・しない会社
- 影響する: 開発画面で機密値や重要な操作を扱い、CVE-2026-112945のHTML変換条件を満たす会社。単にViteを使っているかではなく、開発画面で何ができるかも確認対象です。
- 影響する: 開発サーバーを明示的にネットワーク公開している会社。ファイル露出の2件について、パス、拒否設定、実行環境などの追加条件を確認する必要があります。
- 影響しない: Windows上の開発サーバーはCVE-2026-112946の対象外です。Bunでの実行はCVE-2026-112947の対象外とされています。いずれも3件すべてが対象外という意味ではありません。
- 影響しない:
appType: 'spa'と'mpa'の内部呼び出しは、CVE-2026-112945の該当条件から外れます。会社全体や別の呼び出し方まで対象外とする根拠にはなりません。
