CVE-2026-41211

🔴 Łataj teraz

Luka w Vite+ pozwala na manipulację ścieżkami, co może prowadzić do usunięcia lub zmiany danych poza katalogiem cache.

CVSS
10.0
EPSS
0.0%
Exploit
poc
Vendor
voidzero
Opis źródłowy (NVD)

Vite+ is a unified toolchain and entry point for web development. Prior to version 0.1.17, `downloadPackageManager()` accepts an untrusted `version` string and uses it directly in filesystem paths. A caller can supply `../` segments or an absolute path to escape the `VP_HOME/package_manager/<pm>/` cache root and make Vite+ delete, replace, and populate directories outside the intended cache location. Version 0.1.17 contains a patch.

exploit Brak patcha
Źródła i daty
ŹródłoWartość
NVD – CVSS10.0
CISA KEV (aktywnie wykorzystywane)Nie
FIRST EPSS (prawdopodobieństwo exploita)0.0%
Opublikowano (NVD)2026-04-23 02:16:18 UTC
Ostatnia modyfikacja (NVD)2026-04-29 15:49:45 UTC
Referencje