CVE-2026-53633
Açıklama
Vitest, Vite tarafından desteklenen bir test çerçevesidir. 3.0.0 ile 3.2.5 arası, 4.1.8 ve 5.0.0-beta.4 sürümlerinde, Vitest Browser Mode; allowWrite veya allowExec tarafından kısıtlanmadan ham Chrome DevTools Protocol yöntemlerini ileten bir cdp() API'si sunmaktaydı. Bu durum, açığa çıkmış tarayıcı API meta verilerine sahip uzak bir istemcinin, CDP Page.setDownloadBehavior ve Runtime.evaluate özelliklerini kullanarak vite.config.ts dosyasının üzerine yazmasına ve saldırgan tarafından kontrol edilen Node.js kodunu çalıştırmasına olanak tanımaktaydı. Bu sorun 3.2.5, 4.1.8 ve 5.0.0-beta sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- @vitest/browser5.0.0-beta.4, 4.1.8, 3.2.5 ya da sonraki bir sürüm
- vite-plus0.1.24 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @vitest/browsernpm | 5.0.0-beta.0 ≤ v < 5.0.0-beta.4, 4.0.0 ≤ v < 4.1.8, 3.0.0 ≤ v < 3.2.5 | 5.0.0-beta.4, 4.1.8, 3.2.5 |
| vite-plusnpm | v < 0.1.24 | 0.1.24 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.