CVE-2026-112950 in vitest
Zusammenfassung
von VulDB • 20.10.2026
Vitest ist ein Vite-natives Test-Framework für JavaScript- und TypeScript-Projekte. Von Version 4.1.11 bis einschließlich 4.1.12 sowie in der Version 5.0.3 interpretieren `isFileLoadingAllowed` und die Dateisystem-Leseoperationen auf Windows in `packages/mocker/src/node/interceptorPlugin.ts` Backslashes unterschiedlich. Wenn ein Client den Vite-Entwicklungsserver unter Windows erreichen kann und einen Redirect-Mock mit einer Backslash-Pfadtraversierung registriert, bewahrt das POSIX-Joining eine Windows-Backslash-Traversierung bei, die die nachfolgende Dateisystem-Leseoperation als Pfadtrennzeichen interpretiert. Dadurch kann der Client eine Datei außerhalb von `server.fs.allow` lesen, auf die der Vitest-Prozess Zugriff hat. Dieses Problem wurde in den Versionen 4.1.12 und 5.0.3 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.