CVE-2026-84373 in vitest
الملخص
بحسب VulDB • 02/09/2026
Vitest هو إطار عمل للاختبارات مدعوم بـ Vite. من الإصدار 2.1.0 حتى 4.1.11 و 5.0.0-rc.2، تقوم التصديرات العامة لـ mockerPlugin و interceptorPlugin المستقلة في packages/mocker/src/node/interceptorPlugin.ts بتسجيل معالج vitest:interceptor:register على WebSocket الخاص بـ HMR غير المصادق عليه في Vite دون التحقق من صحة وجهات إعادة التوجيه مقابل قائمة السماح بخدمة الملفات. يعالج التنفيذ event.redirect دون فرض قيود server.fs.allow و server.fs.deny عبر isFileLoadingAllowed. يمكن لعميل عنيف قادر على الوصول إلى خادم تطوير مكشوف تقديم مخطط URL غامض يحافظ على مقاطع ..، مما يؤدي إلى حل join(server.config.root, redirectUrl.pathname) خارج جذر المشروع. ثم يعيد load hook الخاص بالإضافة readFile(mock.redirect, 'utf-8') كمصدر للوحدة النمطية، مما يكشف عن الملفات المحلية التي يمكن لقارئ عملية خادم التطوير قراءتها. يستخدم وضع المتصفح في Vitest RPCً معتمدًا بالرمز المميز (token-authenticated) وليس غير مصادق عليه عن بُعد بشكل افتراضي، على الرغم من أن نفس فحص الحدود كان مفقودًا في ذلك المسار. تم إصلاح هذه المشكلة في الإصدارات 4.1.11 و 5.0.0-rc.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.