SvelteKit: Path Traversal im vite-preview-Server unter Windows
Zusammenfassung
Der vite-preview-Server von SvelteKit (@sveltejs/kit) enthält unter Windows eine Path-Traversal-Schwachstelle in den Versionen ab 2.10.0 bis vor 3.0.0. Ein nicht authentifizierter Angreifer, der den Vorschau-Server über das Netzwerk oder einen Tunnel erreichen kann, kann Dateien ausserhalb des vorgerenderten Ausgabeverzeichnisses lesen, etwa Quellcode, Konfigurationsdateien oder Zugangsdaten, die der Serverprozess lesen kann. Gemäss Hersteller sind Entwicklungsserver, Production-Adapter und Vorschau-Server auf anderen Betriebssystemen nicht betroffen.
Betroffen
- @sveltejs/kit ab 2.10.0 bis vor 3.0.0
- Vorschau-Server (vite preview), der unter Windows läuft
Behoben in
- @sveltejs/kit 3.0.0 oder neuer
Umgehung
- Vorschau-Server nur an localhost binden und den Parameter --host sowie die Konfiguration preview.host nicht verwenden
- Öffentliche Tunnel zum Vorschau-Server entfernen
- Netzwerkzugriff auf den Vorschau-Server einschränken
- Der Betrieb des Vorschau-Servers auf einem Nicht-Windows-Betriebssystem vermeidet die Schwachstelle ebenfalls
Ausnutzung
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial
- Zum Zeitpunkt der Recherche nicht als aktiv ausgenutzt markiert
- In unserer Recherche wurde kein öffentlicher Proof of Concept gefunden; dies schliesst einen solchen nicht aus
Unsere Empfehlung
- @sveltejs/kit auf 3.0.0 oder neuer aktualisieren
- Bis zur Aktualisierung vite preview weder über Netzwerke noch über Tunnel exponieren und nicht als Produktionsserver einsetzen
- Windows-Hosts, Entwicklerrechner, Staging-Server und CI-Systeme auf preview-Skripte mit --host oder öffentliche Tunnel prüfen
- Exponierte Windows-Preview-Hosts als hohe Priorität behandeln, da offengelegte Zugangsdaten weitere Kompromittierungen ermöglichen können
- GitHub stuft das Advisory als Moderate ein, während der CVSS-4.0-Wert 8.7 beträgt; für die Priorisierung den CVSS-Wert verwenden
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-xgrj-p7pg-6vm3 github.com
- VulnCheck advisory www.vulncheck.com
- SvelteKit 3.0.0 release notes github.com
- OpenCVE CVE-2026-114063 app.opencve.io
- HOL Guard CVE-2026-114063 hol.org
- Strix CVE-2026-114063 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:11.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.