一、漏洞概要

漏洞名称	Vite 任意文件读取漏洞(CVE-2025-31125)
发布时间	2025年4月1日
组件名称	Vite
影响范围	Vite ≤ 4.5.10 5.0.0 ≤ Vite ≤ 5.4.15 6.0.0 ≤ Vite ≤ 6.0.12 6.1.0 ≤ Vite ≤ 6.1.2 6.2.0 ≤ Vite ≤ 6.2.3
漏洞类型	任意文件读取
利用条件	1、用户认证：不需要用户认证 2、前置条件：默认配置 3、触发方式：远程
综合评价
官方解决方案	已发布

二、漏洞分析

Vite 是一个现代化的前端构建工具，它利用了浏览器原生 ES 模块导入的能力来提供快速的开发服务器和构建性能。Vite 旨在优化开发体验，通过即时模块热更新（HMR）等技术，使得开发过程更加高效。

2025年4月1日，深瞳漏洞实验室监测到一则Vite组件存在任意文件读取漏洞的信息，漏洞编号：CVE-2025-31125，漏洞威胁等级：中危。

Vite存在一个任意文件读取漏洞，未授权的攻击者可以构造恶意的HTTP请求读取任意文件，导致敏感信息泄露。

目前受影响的Vite版本：

Vite ≤ 4.5.10

5.0.0 ≤ Vite ≤ 5.4.15

6.0.0 ≤ Vite ≤ 6.0.12

6.1.0 ≤ Vite ≤ 6.1.2

6.2.0 ≤ Vite ≤ 6.2.3

官方修复建议

官方已修复该漏洞，建议受影响用户将服务器更新到以下版本：

Vite 6.2.4

Vite 6.1.3

Vite 6.0.13

Vite 5.4.16

Vite 4.5.11