Vulnerabilidad en Vite para javascript (CVE-2024-23331)

Vite es un framework de herramientas frontend para javascript. La opción del servidor de desarrollo de Vite `server.fs.deny` se puede omitir en sistemas de archivos que no distinguen entre mayúsculas y minúsculas utilizando versiones de nombres de archivos aumentadas entre mayúsculas y minúsculas. Cabe destacar que esto afecta a los servidores alojados en Windows. Esta omisión es similar a CVE-2023-34092, con un área de superficie reducida para hosts que tienen sistemas de archivos que no distinguen entre mayúsculas y minúsculas. Dado que `picomatch` por defecto utiliza coincidencias globales que distinguen entre mayúsculas y minúsculas, pero el servidor de archivos no discrimina; es posible omitir la lista negra. Al solicitar rutas de sistema de archivos sin formato usando mayúsculas aumentadas, el comparador derivado de `config.server.fs.deny` no logra bloquear el acceso a archivos confidenciales. Este problema se ha solucionado en vite@5.0.12, vite@4.5.2, vite@3.2.8 y vite@2.9.17. Se recomienda a los usuarios que actualicen. Los usuarios que no puedan actualizar deben restringir el acceso a los servidores de desarrollo.