CVE-2026-112945

Estado: Pendiente de análisisBaja (2.1)—

Gravedad2.1Baja · CVSS 4.0

Probabilidad de explotación—en los próximos 30 días

Explotación activaNono figura en el catálogo de CISA

Exploit públicoNo conocidosin código público localizado

Vite es un framework de herramientas de frontend para JavaScript. Antes de las versiones 6.4.4, 7.3.7, 8.1.6, 8.2.4 y 8.3.3, las aplicaciones que usan middleware personalizado son vulnerables cuando pasan una URL de solicitud del navegador sin modificar a server.transformIndexHtml. getHtmlFilename utiliza la URL de la solicitud, que incluye la cadena de consulta, para resolver un archivo local existente, a la vez que conserva las barras iniciales proporcionadas por el atacante en la URL del módulo proxy generado.

Leer descripción completaMostrar menos

Si el HTML transformado contiene un script de módulo en línea y una víctima carga con su navegador la página manipulada del servidor de desarrollo, la doble barra inicial hace que el navegador obtenga y ejecute un módulo controlado por el atacante en la página servida por Vite. Esta ejecución puede exponer datos sensibles de la página o permitir acciones críticas disponibles para la aplicación afectada. Este problema está corregido en las versiones 6.4.4, 7.3.7, 8.1.6, 8.2.4 y 8.3.3.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base: 2.1
Versión: 4.0
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:A/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Probabilidad de explotación (EPSS)

FIRST aún no ha puntuado esta CVE (habitual en CVEs muy recientes o rechazadas).

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

ExplotaciónT1189 Drive-by Compromiseinitial access70 %
Impacto principalT1005 Data from Local Systemcollection60 %

La víctima carga una página de desarrollo manipulada y el navegador ejecuta un módulo del atacante (ejecución en el cliente tipo XSS); el texto indica que puede exponer datos de la página.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

User Training Restrict Web-Based Content Application Isolation and Sandboxing Exploit Protection Update Software Data Loss Prevention

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Vitejs — Vite^AI

CWE

CWE-80

Referencias

Mostrar las 3 referencias

JSON original (NVD)

Mostrar

{
  "id": "CVE-2026-112945",
  "cveTags": [],
  "metrics": {
    "cvssMetricV40": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "Safety": "NOT_DEFINED",
          "version": "4.0",
          "Recovery": "NOT_DEFINED",
          "baseScore": 2.1,
          "Automatable": "NOT_DEFINED",
          "attackVector": "NETWORK",
          "baseSeverity": "LOW",
          "valueDensity": "NOT_DEFINED",
          "vectorString": "CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:A/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X",
          "exploitMaturity": "NOT_DEFINED",
          "providerUrgency": "NOT_DEFINED",
          "userInteraction": "ACTIVE",
          "attackComplexity": "LOW",
          "attackRequirements": "PRESENT",
          "privilegesRequired": "NONE",
          "subIntegrityImpact": "NONE",
          "vulnIntegrityImpact": "LOW",
          "integrityRequirement": "NOT_DEFINED",
          "modifiedAttackVector": "NOT_DEFINED",
          "subAvailabilityImpact": "NONE",
          "vulnAvailabilityImpact": "NONE",
          "availabilityRequirement": "NOT_DEFINED",
          "modifiedUserInteraction": "NOT_DEFINED",
          "modifiedAttackComplexity": "NOT_DEFINED",
          "subConfidentialityImpact": "NONE",
          "vulnConfidentialityImpact": "LOW",
          "confidentialityRequirement": "NOT_DEFINED",
          "modifiedAttackRequirements": "NOT_DEFINED",
          "modifiedPrivilegesRequired": "NOT_DEFINED",
          "modifiedSubIntegrityImpact": "NOT_DEFINED",
          "modifiedVulnIntegrityImpact": "NOT_DEFINED",
          "vulnerabilityResponseEffort": "NOT_DEFINED",
          "modifiedSubAvailabilityImpact": "NOT_DEFINED",
          "modifiedVulnAvailabilityImpact": "NOT_DEFINED",
          "modifiedSubConfidentialityImpact": "NOT_DEFINED",
          "modifiedVulnConfidentialityImpact": "NOT_DEFINED"
        }
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "vitejs",
          "product": "vite",
          "versions": [
            {
              "status": "affected",
              "version": ">= 8.3.0, < 8.3.3"
            },
            {
              "status": "affected",
              "version": ">= 8.2.0, < 8.2.4"
            },
            {
              "status": "affected",
              "version": ">= 8.0.0, < 8.1.6"
            },
            {
              "status": "affected",
              "version": ">= 7.0.0, < 7.3.7"
            },
            {
              "status": "affected",
              "version": "< 6.4.4"
            }
          ]
        },
        {
          "vendor": "vitejs",
          "product": "vite-plus",
          "versions": [
            {
              "status": "affected",
              "version": "< 1.1.0"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-20T16:17:05.043",
  "references": [
    {
      "url": "https://github.com/vitejs/vite/commit/7dafd8e56f152403a3230608fa4005273c2e9e17",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/vitejs/vite/pull/23653",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/vitejs/vite/security/advisories/GHSA-9jrq-w75r-8gcw",
      "source": "security-advisories@github.com"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "weaknesses": [
    {
      "type": "Primary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-80"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Vite is a frontend tooling framework for JavaScript. Prior to 6.4.4, 7.3.7, 8.1.6, 8.2.4, and 8.3.3, applications using custom middleware are vulnerable when they pass an unchanged browser request URL to server.transformIndexHtml. getHtmlFilename uses the query-bearing request URL to resolve an existing local file while preserving attacker-supplied leading slashes in the generated proxy module URL. If the transformed HTML contains an inline module script and a victim browser loads the crafted development-server page, the leading double slash makes the browser fetch and execute an attacker-controlled module in the Vite-served page. This execution can expose sensitive page data or permit critical actions available to the affected application. This issue is fixed in versions 6.4.4, 7.3.7, 8.1.6, 8.2.4, and 8.3.3."
    }
  ],
  "lastModified": "2026-10-20T19:56:45.543",
  "sourceIdentifier": "security-advisories@github.com"
}