Vite开发服务器 任意文件读取漏洞复现 （CVE-2025-30208）（附脚本）

免责申明：

本文所描述的漏洞及其复现步骤仅供网络安全研究与教育目的使用。任何人不得将本文提供的信息用于非法目的或未经授权的系统测试。作者不对任何由于使用本文信息而导致的直接或间接损害承担责任。如涉及侵权，请及时与我们联系，我们将尽快处理并删除相关内容。

0x01 产品描述：

        Vite 是一个现代前端构建工具，它旨在提供快速的开发体验，尤其适合现代 JavaScript 框架（如 Vue）,凭借其快速的启动时间和流畅的开发体验，成为越来越多开发者的首选。
0x02 漏洞描述：

        该漏洞因为`@fs` 拒绝访问 Vite 服务允许列表之外的文件。在 URL 中添加 `?raw??` 或 `?import&raw??` 可绕过此限制并返回文件内容（如果存在）。之所以存在此绕过，是因为尾随分隔符（例如 `?`）在多个地方被删除，但在查询字符串正则表达式中没