CVE-2026-53633
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
Podatność w Vitest w trybie przeglądarki (Browser Mode) pozwala zdalnemu atakującemu na ominięcie mechanizmów kontroli dostępu i wykonanie dowolnego kodu Node.js. Problem dotyczy interfejsu cdp(), który nie weryfikuje uprawnień allowWrite ani allowExec, umożliwiając manipulację plikiem konfiguracyjnym vite.config.ts.
Ocena ryzyka
Atakujący może przejąć kontrolę nad serwerem deweloperskim, podmieniając konfigurację Vite i wykonując złośliwy kod, co prowadzi do pełnej kompromitacji środowiska testowego i potencjalnie produkcyjnego.
Rekomendacja
Należy natychmiast zaktualizować Vitest do wersji 3.2.5, 4.1.8 lub 5.0.0-beta (lub nowszej). Jeśli aktualizacja nie jest możliwa, należy wyłączyć tryb przeglądarki (Browser Mode) lub ograniczyć dostęp do interfejsu cdp().
Oryginalny opis (angielski, źródło NVD)
Vitest is a testing framework powered by Vite. From 3.0.0 until 3.2.5, 4.1.8, and 5.0.0-beta.4, Vitest Browser Mode exposed a cdp() API that forwarded raw Chrome DevTools Protocol methods without being gated by allowWrite or allowExec, allowing a remote client with exposed browser API metadata to use CDP Page.setDownloadBehavior and Runtime.evaluate to overwrite vite.config.ts and execute attacker-controlled Node.js code. This issue is fixed in versions 3.2.5, 4.1.8, and 5.0.0-beta.