Vite Dev Server 5.0.0-beta.18、4.5.3 及更早版本在处理 WebSocket 接口中的 fetchModule 命令时存在文件路径验证不当漏洞。服务器未对通过 WebSocket 接口处理 fetchModule 命令时的文件路径进行适当验证，允许远程攻击者通过构造恶意 WebSocket 消息请求 file:// 协议 URL 来读取服务器文件系统中的任意文件。这可能导致敏感配置文件、源代码、环境变量、数据库凭证和其他敏感信息的泄露。

立即升级 Vite 到 5.0.0-beta.18 或更高版本，或 4.5.3 及更高版本。 如果无法升级，请限制 WebSocket 仅允许可信来源访问。 避免将 Vite Dev Server 暴露到公共互联网。 使用防火墙规则阻止来自不受信任网络的开发服务器端口直接访问。