CVE-2026-112948
Açıklama
Vitest, Vite tarafından desteklenen bir test çerçevesidir. 5.0.0-beta.6 ile 5.0.5 sürümleri arasında, proje sunucuları Vite varsayılanlarının yerini aldığı ve kök sunucu, Vite eşleştiricisini derledikten sonra .vitest-secret-token eklediği için Vitest geliştirici sunucuları server.fs.deny ayarını yanlış uygulayabilir. Etkilenen bir UI, Browser Mode veya API sunucusuna erişebilen bir saldırgan, engellenmiş proje dosyalarını veya node_modules/.vitest/.vitest-secret-token konumundaki yedek API belirtecini okuyabilir; ayrıca test.projects ile kullanılan Browser Mode, kötü amaçlı bir web sitesi aracılığıyla JavaScript uyumlu .env değerlerini ifşa edebilir. Bu sorun 5.0.5 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- @vitest/ui5.0.5 ya da sonraki bir sürüm
- @vitest/browser5.0.5 ya da sonraki bir sürüm
- vite-plus1.3.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @vitest/uinpm | 5.0.0-beta.6 ≤ v < 5.0.5 | 5.0.5 |
| @vitest/browsernpm | 5.0.0-beta.6 ≤ v < 5.0.5 | 5.0.5 |
| vite-plusnpm | 1.0.0-rc.0 ≤ v < 1.3.0 | 1.3.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.