CVE-2025-24963

اسم البرنامج المعرض للثغرة والإصدارات المتأثرة:

إصدارات Vitest الأقدم من 2.1.9

إصدارات Vitest الأقدم من 3.0.4

الوصف:

يستجيب المُعالج screenshot-error في خادم HTTP الخاص بوضع المتصفح لأي ملف موجود في نظام الملفات. إذا كان الخادم مكشوفًا على الشبكة عبر browser.api.host: true، فيمكن للمهاجم إرسال طلب إلى هذا المُعالج عن بُعد للحصول على محتوى ملفات عشوائية. تتيح هذه الثغرة للمهاجمين قراءة ملفات عشوائية على النظام.

التوصيات:

بالنسبة للإصدارات الأقدم من 2.1.9، قم بالتحديث إلى الإصدار 2.1.9 أو أحدث.

بالنسبة للإصدارات الأقدم من 3.0.4، قم بالتحديث إلى الإصدار 3.0.4 أو أحدث.

كحل بديل مؤقت، ضع في اعتبارك تعطيل الإعداد browser.api.host: true لمنع تعرض خادم وضع المتصفح للشبكة.

قم بتقييد الوصول إلى المعالج screenshot-error لتقليل مخاطر الاستغلال.

تجنب استخدام المعلمة file في المعالج screenshot-error حتى يتم حل المشكلة.