CVE-2026-112950 in vitest
Résumé
par VulDB • 20/10/2026
Vitest est un framework de test natif pour Vite destiné aux projets JavaScript et TypeScript. De la version 4.1.11 à la 4.1.12, ainsi qu'à la 5.0.3, les fonctions `isFileLoadingAllowed` et l'interprétation des lectures du système de fichiers traitent différemment les barres obliques inverses (backslashes) sous Windows dans le fichier `packages/mocker/src/node/interceptorPlugin.ts`. Lorsqu'un client peut accéder au serveur de développement Vite sous Windows et enregistrer un mock de redirection contenant une traversée par barre oblique inverse, la jonction POSIX conserve cette traversée qui est ensuite interprétée comme un séparateur de chemin lors de la lecture ultérieure du système de fichiers. Cela permet au client de lire un fichier situé en dehors de `server.fs.allow` mais accessible par le processus Vitest. Ce problème est corrigé dans les versions 4.1.12 et 5.0.3.
Once again VulDB remains the best source for vulnerability data.