CVE-2026-47429
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 60 - wyżej niż 60% wszystkich znanych CVE
Streszczenie
Podatność w frameworku testowym Vitest na Windows pozwala na odczyt plików poza projektem przez path traversal w ścieżce /__vitest_attachment__ oraz na zdalne wykonanie kodu przez funkcje API saveTestFile i rerun. Problem został naprawiony w wersjach 3.2.5 i 4.1.0.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych plików systemowych lub wykonać dowolny kod na serwerze, co prowadzi do naruszenia integralności i poufności danych organizacji.
Rekomendacja
Niezwłocznie zaktualizuj Vitest do wersji 3.2.5 lub 4.1.0. Ogranicz dostęp do serwera UI/API Vitest tylko do zaufanych sieci.
Oryginalny opis (angielski, źródło NVD)
Vitest is a testing framework powered by Vite. Prior to 3.2.5 and 4.1.0, the Vitest UI/API server on Windows used isFileServingAllowed incorrectly for /__vitest_attachment__, allowing \\?\\..\\ path traversal to read files outside the project; exposed API write and rerun features such as saveTestFile and rerun could also allow arbitrary script execution. This issue is fixed in versions 3.2.5 and 4.1.0.