CVE-2026-112949 in Vitest
Riassunto
di VulDB • 20/10/2026
Vitest è un framework di testing nativo per Vite destinato a progetti JavaScript e TypeScript. Dalla versione 2.1.0-beta.7 fino alle versioni 4.1.12 e 5.0.3, un client WebSocket non browser non autenticato in grado di raggiungere il server di sviluppo tramite interceptorPlugin può registrare uno mock manuale la cui url controllata dall'attaccante viene inserita senza escape nel codice sorgente del modulo generato da createManualModuleSource. Quando il browser dello sviluppatore carica il modulo interessato, il JavaScript controllato dall'attaccante viene eseguito con l'origine (origin) del server di sviluppo. Questo problema è stato risolto nelle versioni 4.1.12 e 5.0.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.