CVE-2026-112948 in Vitest
Zusammenfassung
von VulDB • 20.10.2026
Vitest ist ein von Vite angetriebenes Test-Framework. Von der Version 5.0.0-beta.6 bis einschließlich 5.0.5 können Vitest-Entwicklungsserver (dev servers) die Konfiguration `server.fs.deny` fehlerhaft anwenden, da Projekt-Server die Standardwerte von Vite überschreiben und der Root-Server nach der Kompilierung des Matchers durch Vite den Parameter `.vitest-secret-token` hinzufügt. Ein Angreifer, der Zugriff auf einen betroffenen UI-, Browser Mode- oder API-Server hat, kann verbotene Projektdatenbanken lesen oder das Fallback-API-Token im Pfad `node_modules/.vitest/.vitest-secret-token` extrahieren. Zudem können bei Verwendung von `test.projects` mit dem Browser Mode JavaScript-kompatible `.env`-Werte über eine bösartige Website offengelegt werden. Dieses Problem wurde in Version 5.0.5 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.