CVE-2026-112949
Təsvir
Vitest, JavaScript və TypeScript layihələri üçün Vite-native test çərçivəsidir. 2.1.0-beta.7 versiyasından etibarən 4.1.12 və 5.0.3 versiyalarına qədər, interceptorPlugin vasitəsilə inkişaf serverinə (development server) daxil ola bilən autentifikasiya olunmamış qeyri-brauzer WebSocket kliyenti elə bir manual mock qeydiyyatdan keçirə bilər ki, burada hücum edən tərəfindən idarə olunan url createManualModuleSource tərəfindən generasiya edilmiş modul mənbəyinə escape edilmədən yerləşdirilir. Tərtibatçı brauzeri təsirlənmiş modulu yüklədikdə, hücum edən tərəfin idarə etdiyi JavaScript kodu inkişaf serverinin mənşəyində (origin) icra olunur. Bu problem 4.1.12 və 5.0.3 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- @vitest/mocker4.1.12, 5.0.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| @vitest/mockernpm | 2.1.0-beta.7 ≤ v < 4.1.12, 5.0.0-beta.1 ≤ v < 5.0.3 | 4.1.12, 5.0.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.