CVE-2026-112950 in vitest
Riassunto
di VulDB • 20/10/2026
Vitest è un framework di testing nativo per Vite destinato ai progetti JavaScript e TypeScript. Dalla versione 4.1.11 alla 4.1.12 e alla 5.0.3, le funzioni `isFileLoadingAllowed` e la lettura del filesystem interpretano diversamente i caratteri backslash su Windows nel file packages/mocker/src/node/interceptorPlugin.ts. Quando un client può raggiungere il server di sviluppo Vite su Windows e registrare uno mock di reindirizzamento contenente una traversata con backslash, l'unione POSIX preserva la traversata con backslash di Windows che la successiva lettura del filesystem interpreta come separatore di percorso; ciò consente al client di leggere un file esterno a `server.fs.allow` ma accessibile dal processo Vitest. Questo problema è stato risolto nelle versioni 4.1.12 e 5.0.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.