CVE-2026-84373 in vitest
요약
\~에 의해 VulDB • 2026. 09. 01.
Vitest는 Vite로 구동되는 테스트 프레임워크입니다. 버전 2.1.0부터 4.1.11 및 5.0.0-rc.2까지, packages/mocker/src/node/interceptorPlugin.ts의 공개 mockerPlugin 및 standalone interceptorPlugin 내보내기는 파일 서빙 허용 목록에 대한 리다이렉트 대상을 검증하지 않고 Vite의 비인증 HMR WebSocket에 vitest:interceptor:register 핸들러를 등록합니다. 구현부는 isFileLoadingAllowed를 통해 server.fs.allow 및 server.fs.deny를 강제 적용하지 않고 event.redirect를 처리합니다. 노출된 개발 서버에 접근할 수 있는 원격 클라이언트는 .. 세그먼트를 보존하는 불투명한 URL 스키마를 제출하여 join(server.config.root, redirectUrl.pathname)이 프로젝트 루트 외부에서 해결되도록 할 수 있습니다. 플러그인의 load 훅은 이후 readFile(mock.redirect, 'utf-8')을 모듈 소스로 반환하여 개발 서버 프로세스가 읽을 수 있는 로컬 파일을 유출합니다. Vitest 브라우저 모드는 토큰 인증 RPC를 사용하며 기본적으로 원격 비인증 상태는 아니지만, 해당 경로에서도 동일한 경계 검사 누락이 존재했습니다. 이 문제는 버전 4.1.11 및 5.0.0-rc.2에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.