CVE-2026-112949 in Vitest
الملخص
بحسب VulDB • 20/10/2026
Vitest هو إطار عمل للاختبارات متوافق مع Vite مخصص لمشاريع JavaScript و TypeScript. من الإصدار 2.1.0-beta.7 حتى 4.1.12 و 5.0.3، يمكن لعميل WebSocket غير متصفح وغير مُصادق عليه (unauthenticated) الذي يتمكن من الوصول إلى خادم التطوير باستخدام interceptorPlugin أن يسجّل محاكاة يدوية (manual mock)، حيث تُدرَج URL التي يتحكم فيها المهاجم في دالة createManualModuleSource دون تهريب (unescaped) داخل مصدر الوحدة النمطية المُولَّدة. وعند تحميل المتصفح الخاص بالمطور للوحدة النمطية المتأثرة، يتم تنفيذ شفرة JavaScript خبيثة تتحكم فيها الجهة المهاجمة ضمن أصل خادم التطوير (development-server origin). تم إصلاح هذه المشكلة في الإصدارات 4.1.12 و 5.0.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.