Към съдържанието
Търсене

CVE-2026-112950: vitest-dev vitest, обхождане на път

5.9

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Vitest is a Vite-native testing framework for JavaScript and TypeScript projects. From 4.1.11 until 4.1.12 and 5.0.3, isFileLoadingAllowed and the filesystem read interpret backslashes differently on Windows in packages/mocker/src/node/interceptorPlugin.ts. When a client can reach the Vite dev server on Windows and register a redirect mock containing backslash traversal, POSIX joining preserves a Windows backslash traversal that the later filesystem read interprets as a path separator, so the client can read a file outside server.fs.allow that the Vitest process can access. This issue is fixed in versions 4.1.12 and 5.0.3.

Засегнати продукти

  • vitest-dev vitest: >= 4.1.11, < 4.1.12; >= 5.0.0-rc.2, < 5.0.3
  • @vitest mocker: >= 4.1.11, < 4.1.12; >= 5.0.0-rc.2, < 5.0.3

Вид слабост

История

  • 20 октомври 2026 Публикувано

Други уязвимости в vitest-dev vitest

Първоизточници

CVE-2026-112950: vitest-dev vitest, обхождане на път | freedomonline.bg