Към съдържанието
Търсене

CVE-2026-73653: vitest-dev vitest, заобикаляне на вход и права

9.4

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

Vitest is a testing framework powered by Vite. Prior to versions 3.2.7, 4.1.10, and 5.0.0-beta.6, Browser Mode provider commands including upload, takeScreenshot, screenshotMatcher, stopChunkTrace, deleteTracing, and annotateTraces accept browser-supplied file paths without enforcing the allowWrite permission gate or confining paths to the project root. A client that can reach the Browser Mode API can read arbitrary local files, create or overwrite image and trace files, or delete files accessible to the Vitest process even when allowWrite is false. This issue is fixed in versions 3.2.7, 4.1.10, and 5.0.0-beta.6.

Засегнати продукти

  • vitest-dev vitest: < 3.2.7; >= 4.0.0, < 4.1.10; >= 5.0.0-beta.1, < 5.0.0-beta.6

Вид слабост

История

  • 13 август 2026 Публикувано

Други уязвимости в vitest-dev vitest

Първоизточници

CVE-2026-73653: vitest-dev vitest, заобикаляне на вход и права | freedomonline.bg