Към съдържанието
Търсене

CVE-2026-112948: vitest-dev vitest, изтичане на данни

6.5

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и след действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Vitest is a testing framework powered by Vite. From 5.0.0-beta.6 until 5.0.5, Vitest dev servers can misapply server.fs.deny because project servers replace Vite's defaults and the root server adds .vitest-secret-token after Vite compiles its matcher. An attacker who can reach an affected UI, Browser Mode, or API server can read denied project files or the fallback API token at node_modules/.vitest/.vitest-secret-token, and Browser Mode with test.projects can expose JavaScript-compatible .env values through a malicious website. This issue is fixed in version 5.0.5.

Засегнати продукти

  • vitest-dev vitest: >= 5.0.0-beta.6, < 5.0.5
  • @vitest browser: >= 5.0.0-beta.6, < 5.0.5
  • @vitest ui: >= 5.0.0-beta.6, < 5.0.5
  • vitejs vite-plus: >= 1.0.0-rc.0, < 1.3.0

Вид слабост

История

  • 20 октомври 2026 Публикувано

Други уязвимости в vitest-dev vitest

Първоизточници

CVE-2026-112948: vitest-dev vitest, изтичане на данни | freedomonline.bg