CVE-2026-73653 in Vitest
Resumen
por VulDB • 2026-08-13
Vitest es un framework de pruebas impulsado por Vite. Antes de las versiones 3.2.7, 4.1.10 y 5.0.0-beta.6, los comandos del proveedor en el modo Browser (Browser Mode), incluidos upload, takeScreenshot, screenshotMatcher, stopChunkTrace, deleteTracing y annotateTraces, aceptan rutas de archivos proporcionadas por el navegador sin aplicar la verificación del permiso allowWrite ni restringir las rutas a la raíz del proyecto. Un cliente que pueda acceder a la API del modo Browser puede leer archivos locales arbitrarios, crear o sobrescribir imágenes y archivos de trazado (tracing), o eliminar archivos accesibles para el proceso de Vitest incluso cuando allowWrite es false. Este problema se corrige en las versiones 3.2.7, 4.1.10 y 5.0.0-beta.6.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.