CVE-2026-47428
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Podatność w Vitest w trybie przeglądarkowym pozwala na wstrzyknięcie kodu JavaScript poprzez parametr zapytania otelCarrier w ścieżce /__vitest_test__/. Atakujący może wykorzystać spreparowany adres URL do wykonania dowolnego kodu w kontekście serwera Vitest i odzyskać token API VITEST_API_TOKEN.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia tokena API przez atakującego, co umożliwia nieautoryzowane wywołania API w imieniu serwera Vitest, potencjalnie prowadząc do naruszenia integralności testów lub wycieku danych.
Rekomendacja
Należy niezwłocznie zaktualizować Vitest do wersji 4.1.6 lub 5.0.0-beta.3, które zawierają poprawkę eliminującą podatność.
Oryginalny opis (angielski, źródło NVD)
Vitest is a testing framework powered by Vite. From 4.0.17 until 4.1.6 and 5.0.0-beta.3, Vitest Browser Mode served /__vitest_test__/ with the otelCarrier query parameter inserted directly into an inline module script, allowing a crafted browser-runner URL to execute arbitrary JavaScript in the Vitest server origin and recover VITEST_API_TOKEN for authenticated API calls. This issue is fixed in versions 4.1.6 and 5.0.0-beta.3.