CVE-2026-41211: Path traversal em downloadPackageManager() do Vite+ permite escritas fora do VP_HOME

Visão geral

A CVE-2026-41211 é uma fraqueza de travessia de diretório (CWE-22) na função downloadPackageManager() do pacote vite-plus/binding, conforme descrito no registro. A função aceita uma string de versão que não é tratada como confiável e a usa na construção de caminhos do sistema de arquivos. Segundo a descrição, isso pode levar operações de arquivo para fora do cache de gerenciadores de pacote previsto dentro do VP_HOME.

Impacto

A descrição indica que o código afetado pode excluir, substituir e preencher diretórios fora do local de cache pretendido.
O registro da NVD atribui pontuação CVSS 10, com impacto alto em integridade e disponibilidade e impacto nulo em confidencialidade.
O registro do GitHub atribui pontuação 8.4.
Os dados SSVC do registro classificam o impacto técnico como total, enquanto a automatização aparece como não.

Produtos e versões afetados

O registro lista duas entradas de produto: Voidzero Vite+ anterior à 0.1.17, e Voidzero-dev Vite-plus com versão anterior à 0.1.17. A descrição afirma que a versão 0.1.17 contém a correção.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro. Nenhuma exploração confirmada no mundo real aparece nas fontes consultadas. O campo SSVC do registro indica exploração como poc, o que sugere a existência de prova de conceito, mas não confirma ataques ativos. A referência de aviso do GitHub possui a marcação Exploit no registro, porém seu conteúdo não foi analisado para esta avaliação.

Correção e mitigação

Atualize o Vite+ para a versão 0.1.17 ou posterior, que a descrição identifica como contendo a correção.
Consulte o aviso de segurança do GitHub GHSA-33r3-4whc-44c2 para detalhes de mitigação do fornecedor, já que o registro o lista como referência de mitigação.
Enquanto a atualização não for possível, evite passar valores de versão de fontes não confiáveis para a lógica de download do gerenciador de pacotes e restrinja quais usuários ou pipelines podem acioná-la.

Orientações de detecção

Verifique se builds do Vite+ ou ambientes de desenvolvimento executam versões anteriores à 0.1.17.
Monitore alterações de arquivos fora do diretório de cache VP_HOME durante instalação de dependências ou etapas de download do gerenciador de pacotes.
Revise scripts de build, configurações de CI e entradas de ferramentas em busca de valores de versão dinâmicos que possam vir de fora da organização.

Limitações das informações disponíveis

O registro não fornece detalhes de prova de conceito, análise completa da causa raiz nem o diff exato da correção. A data do EPSS no registro (2026-10-23) é posterior à data de publicação (2026-04-23), por isso deve ser verificada na fonte antes de ser usada. O registro também não descreve as condições específicas de implantação necessárias para a exploração.

Perguntas frequentes

Quais versões do Vite+ são afetadas pela CVE-2026-41211?

O registro lista versões do Vite+ anteriores à 0.1.17 como afetadas. A versão 0.1.17 é apresentada como contendo a correção.

A CVE-2026-41211 é explorada no mundo real?

O catálogo KEV da CISA não a lista no registro, e nenhuma exploração confirmada aparece nas fontes consultadas. O campo SSVC indica apenas um sinal de prova de conceito.

O que as equipes devem fazer primeiro?

Atualizar o Vite+ para a versão 0.1.17 ou posterior, revisar o aviso GHSA-33r3-4whc-44c2 do GitHub para detalhes de mitigação e restringir entradas não confiáveis na lógica de download do gerenciador de pacotes até concluir a atualização.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.