Към съдържанието
Търсене

CVE-2026-84373: vitest-dev vitest, обхождане на път

5.9

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Vitest is a testing framework powered by Vite. From 2.1.0 until 4.1.11 and 5.0.0-rc.2, the public mockerPlugin and standalone interceptorPlugin exports in packages/mocker/src/node/interceptorPlugin.ts register the vitest:interceptor:register handler on Vite's unauthenticated HMR WebSocket without validating redirect targets against the file-serving allowlist. The implementation processes event.redirect without enforcing server.fs.allow and server.fs.deny through isFileLoadingAllowed. A remote client that can reach an exposed development server can submit an opaque URL scheme preserving .. segments, causing join(server.config.root, redirectUrl.pathname) to resolve outside the project root. The plugin's load hook then returns readFile(mock.redirect, 'utf-8') as module source, disclosing local files readable by the dev-server process. Vitest browser mode uses a token-authenticated RPC and is not remotely unauthenticated by default, although the same boundary check was missing on that path. This issue is fixed in versions 4.1.11 and 5.0.0-rc.2.

Засегнати продукти

  • vitest-dev vitest: >= 2.1.0, < 4.1.11; >= 5.0.0-beta.1, < 5.0.0-rc.2
  • @vitest mocker: >= 2.1.0, < 4.1.11; >= 5.0.0-beta.1, < 5.0.0-rc.2

Вид слабост

История

  • 1 септември 2026 Публикувано

Други уязвимости в vitest-dev vitest

Първоизточници

CVE-2026-84373: vitest-dev vitest, обхождане на път | freedomonline.bg