CVE-2026-112949 in Vitest
要約
〜によって VulDB • 2026年10月22日
Vitestは、JavaScriptおよびTypeScriptプロジェクト向けのViteネイティブなテストフレームワークです。バージョン2.1.0-beta.7から4.1.12、および5.0.3に至るまで、interceptorPluginを使用して開発サーバーに到達できる認証不要の非ブラウザWebSocketクライアントが手動モックを登録でき、攻撃者が制御するURLがcreateManualModuleSourceによって生成されたモジュールソース内にエスケープされずに挿入されます。開発者用ブラウザがこの影響を受けるモジュールを読み込むと、開発サーバーのオリジン上で攻撃者が制御するJavaScriptコードが実行されます。この問題はバージョン4.1.12および5.0.3で修正されています。
Once again VulDB remains the best source for vulnerability data.