Vite 7.3.7 发布：回修 CVE-2026-112945 / 112946 等开发服务器问题

GitHub 显示，vitejs/vite 于 2026 年 10 月 6 日打出标签 v7.3.7（由 github-actions 发布，说明指向 CHANGELOG）。packages/vite/CHANGELOG.md 将该版日期记为 2026-10-06，并列出缺陷修复：将 launch-editor 更新到 v2.14.2；传入 transformIndexHtml 的文件名不应再携带 query；以及向 safeModulePaths 写入 id 而非 URL 等。[1][2]

同日公开的安全公告进一步说明，CVE-2026-112945（经 Vite 自定义中间件的跨源脚本执行）与 CVE-2026-112946（在项目路径与系统路径匹配等条件下，可能提供 server.fs.allow 之外的文件）将 7.3.7 列为 7.x 线修复版本，受影响范围包括 >=7.0.0,<=7.3.6。8.x 等更高主线亦有对应补丁（如公告中的 8.3.3 等）。[3]

仍停留在 7.3.x、且会把开发服务器暴露到网络，或以自定义中间件扩展 Vite 的项目，应优先升到 7.3.7 或已修复的更新主线。CHANGELOG 对 7.3.7 以 Bug Fixes 呈现；安全影响与利用前提以 GitHub Security Advisories 中的 CVE 说明为准，勿仅凭版本号推断生产构建是否受影响。

来源

[1] Release v7.3.7 · vitejs/vite，发布于 2026年10月6日。

[2] vite CHANGELOG.md（v7.3.7 标签），7.3.7 条目日期 2026-10-06。

[3] vitejs/vite Security Advisories（含 CVE-2026-112945、CVE-2026-112946，公布日期 2026-10-06）。

#Vite #7.3.7 #CVE #前端工程 #安全更新