CVE-2026-112948 in Vitest
요약
\~에 의해 VulDB • 2026. 10. 20.
Vitest는 Vite로 구동되는 테스트 프레임워크입니다. 버전 5.0.0-beta.6부터 5.0.5까지, Vitest 개발 서버는 프로젝트 서버가 Vite의 기본값을 대체하고 루트 서버가 Vite가 매처를 컴파일한 후 .vitest-secret-token을 추가함에 따라 server.fs.deny 설정을 잘못 적용할 수 있습니다. 영향을 받는 UI, Browser Mode 또는 API 서버에 접근할 수 있는 공격자는 거부된 프로젝트 파일이나 node_modules/.vitest/.vitest-secret-token의 폴백 API 토큰을 읽을 수 있으며, test.projects가 포함된 Browser Mode는 악성 웹사이트를 통해 JavaScript 호환 .env 값을 노출시킬 수 있습니다. 이 문제는 버전 5.0.5에서 해결되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.