CVE-2026-112950 in vitest
要約
〜によって VulDB • 2026年10月21日
Vitestは、JavaScriptおよびTypeScriptプロジェクト向けのViteネイティブなテストフレームワークです。バージョン4.1.11から4.1.12まで、および5.0.3では、packages/mocker/src/node/interceptorPlugin.ts内のisFileLoadingAllowed関数とファイルシステム読み込み処理が、Windows環境においてバックスラッシュを異なる方法で解釈します。クライアントがWindows上のVite開発サーバーにアクセスし、バックスラッシュによるパストラバーサルを含むリダイレクトモックを登録した場合、POSIXの結合ロジックはWindows特有のバックスラッシュによるパストラバーサルを保持したままになり、その後のファイルシステム読み込み処理はこの文字列をパス区切り文字として解釈します。これにより、クライアントはVitestプロセスがアクセス可能な範囲内にあるにもかかわらず、server.fs.allowで許可されていない外部ファイルを参照することが可能になります。この問題はバージョン4.1.12および5.0.3で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.