CVE-2026-73653 in Vitest
Zusammenfassung
von VulDB • 13.08.2026
Vitest ist ein von Vite angetriebenes Test-Framework. Vor den Versionen 3.2.7, 4.1.10 und 5.0.0-beta.6 akzeptieren Browser-Mode-Anbieterbefehle einschließlich upload, takeScreenshot, screenshotMatcher, stopChunkTrace, deleteTracing und annotateTraces browserseitig bereitgestellte Dateipfade, ohne das allowWrite-Berechtigungs-Gate durchzusetzen oder die Pfade auf das Projektstammverzeichnis zu beschränken. Ein Client, der Zugriff auf die Browser-Mode-API hat, kann beliebige lokale Dateien lesen, Bild- und Trace-Dateien erstellen oder überschreiben sowie für den Vitest-Prozess zugängliche Dateien löschen, selbst wenn allowWrite false ist. Dieses Problem wurde in den Versionen 3.2.7, 4.1.10 und 5.0.0-beta.6 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.