CVE-2026-73653 in Vitest
摘要
由 VulDB • 2026-08-14
Vitest 是一个由 Vite 驱动的测试框架。在版本 3.2.7、4.1.10 和 5.0.0-beta.6 之前，Browser Mode（浏览器模式）提供者的命令包括 upload、takeScreenshot、screenshotMatcher、stopChunkTrace、deleteTracing 和 annotateTraces，它们接受由浏览器提供的文件路径，但未强制执行 allowWrite 权限门控或将路径限制在项目根目录内。能够访问 Browser Mode API 的客户端可以读取任意本地文件、创建或覆盖图像文件和跟踪文件，或者删除 Vitest 进程可访问的文件，即使 allowWrite 设置为 false。此问题已在版本 3.2.7、4.1.10 和 5.0.0-beta.6 中修复。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.