CVE-2026-39364
CVSS 7.5 HIGH: vite is a frontend tooling framework for JavaScript. EPSS 2% (83º percentile).
Vulnerabilità · 44 giorni fa
F5 Labs ha confermato in agosto 2026 un campaign di mass-scanning contro i Vite dev server esposti, con furto di credenziali AWS e Azure e di artefatti di infrastruttura. Il salto rispetto al semplice rischio di esposizione è questo: la falla è già sfruttata sul campo e trasforma un server pensato per sviluppo in una fonte di accesso cloud.
CVE-2026-39364 consente di aggirare server.fs.deny aggiungendo query string come ?raw, ?import&raw o ?import&url&inline a una richiesta su /@fs/. Il server risponde con un 200 e restituisce file che avrebbero dovuto restare bloccati, spesso in chiaro: .env, configurazioni, backup, stato di Terraform e profili Azure. Se quei file contengono chiavi o segreti riutilizzati altrove, l’attaccante ottiene accesso operativo senza dover passare da una compromissione separata dell’account cloud.
Per chi espone Vite oltre localhost, il problema non è il dev server in sé ma il contenuto che gli sta accanto. E con scanner che possono anche falsificare header come X-Forwarded-For e X-Real-IP, le sole allowlist IP non bastano a dare per scontato che la superficie sia davvero schermata.
CVSS 7.5 HIGH: vite is a frontend tooling framework for JavaScript. EPSS 2% (83º percentile).
2 fonti che coprono questa storia
Mass-Scanning Campaign Exploits Vite Flaw to Extract Cloud Credentials From Exposed Dev Servers
Attackers exploit a Vite flaw in exposed dev servers to extract cloud credentials, configuration files, and infrastructure state.
Hackers target exposed Vite dev servers to steal AWS, Azure secrets
A mass-scanning campaign targeting internet-exposed Vite development servers is attempting to steal cloud credentials and configurations from AWS and Azure deployments.
Riepilogo fornitore: Microsoft
Part of the PlainSec briefing for 2026-09-16