CVE-2026-47429
Kritik
Açıklama
Vitest, Vite tarafından desteklenen bir test çerçevesidir. 3.2.5 ve 4.1.0 sürümlerinden önce, Windows üzerindeki Vitest UI/API sunucusu /__vitest_attachment__ için isFileServingAllowed özelliğini yanlış kullanmış ve \\?\\..\\ yol geçişi (path traversal) yoluyla proje dışındaki dosyaların okunmasına izin vermiştir; saveTestFile ve rerun gibi açık olan API yazma ve yeniden çalıştırma özellikleri de rastgele betik çalıştırılmasına izin verebilmektedir. Bu sorun 3.2.5 ve 4.1.0 sürümlerinde düzeltilmiştir.
ÖnemKritik
CVSS9.8
İstismar olasılığı—
ÜrünVitest
Yayın14 Tem 2026
İlk görülme14 Tem 2026
Zayıflık türüCWE-22Dizin geçişi (path traversal)
Nasıl düzeltilir
Güncelleyin
- vitest.dev vitest3.2.5, 4.1.0 ya da sonraki bir sürüm
- vitest4.1.0, 3.2.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vitest.dev vitest | v < 3.2.5, 4.0.0 ≤ v < 4.1.0 | 3.2.5, 4.1.0 |
| vitestnpm | 4.0.0 ≤ v < 4.1.0, v < 3.2.6 | 4.1.0, 3.2.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.