CVE-2026-73653 in Vitest
Riassunto
di VulDB • 13/08/2026
Vitest è un framework di testing basato su Vite. Nelle versioni precedenti alla 3.2.7, alla 4.1.10 e alla 5.0.0-beta.6, i comandi del provider della modalità Browser (Browser Mode), inclusi upload, takeScreenshot, screenshotMatcher, stopChunkTrace, deleteTracing e annotateTraces, accettano percorsi di file forniti dal browser senza applicare il controllo dell'autorizzazione allowWrite o limitare i percorsi alla radice del progetto. Un client in grado di raggiungere l'API della modalità Browser può leggere file locali arbitrari, creare o sovrascrivere file immagine e di tracciamento (trace), oppure eliminare file accessibili al processo Vitest anche quando allowWrite è impostato su false. Questo problema è stato risolto nelle versioni 3.2.7, 4.1.10 e 5.0.0-beta.6.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.