CVE-2026-73653 in Vitest
Résumé
par VulDB • 13/08/2026
Vitest est un framework de test alimenté par Vite. Avant les versions 3.2.7, 4.1.10 et 5.0.0-beta.6, les commandes du fournisseur Browser Mode incluant upload, takeScreenshot, screenshotMatcher, stopChunkTrace, deleteTracing et annotateTraces acceptent des chemins de fichiers fournis par le navigateur sans imposer la vérification de l'autorisation allowWrite ni limiter ces chemins à la racine du projet. Un client pouvant accéder à l'API Browser Mode peut lire n'importe quel fichier local arbitraire, créer ou écraser des fichiers d'image et de traçage, ou supprimer des fichiers accessibles au processus Vitest, même lorsque allowWrite est défini sur false. Ce problème est corrigé dans les versions 3.2.7, 4.1.10 et 5.0.0-beta.6.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.