PT-2025-5608
CVE-2025-24964
·
تاريخ النشر
2025-01-29
·
تاريخ التحديث
2026-08-19
الوصف من
CVSS 2.0
10
حرجةالمقاييسAV:N/AC:L/Au:N/C:C/I:C/A:C
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Vitest من 1.6.0 إلى 3.0.4
الوصف
Vitest، وهو إطار عمل للاختبار يعتمد على Vite، معرض لتنفيذ تعليمات برمجية عشوائية عن بُعد عند الوصول إليه عبر موقع ويب ضار أثناء استماع خادم واجهة برمجة التطبيقات (API) الخاص بـ Vitest. ويرجع ذلك إلى ثغرة أمنية تُعرف باسم «اختطاف WebSocket بين المواقع» (CSWSH). عندما تكون الخيار
api ممكّنًا (وهو ما تفعله واجهة المستخدم لـ Vitest بشكل افتراضي)، يقوم Vitest بتشغيل خادم WebSocket لا يتحقق من رأس Origin ولا يطبق أي آلية للتوثيق. يتضمن هذا الخادم واجهتي برمجة التطبيقات saveTestFile وrerun. يمكن للمهاجم استغلال هذه الثغرة عن طريق حقن كود في ملف اختبار باستخدام واجهة برمجة التطبيقات saveTestFile، ثم تنفيذ هذا الكود باستدعاء واجهة برمجة التطبيقات rerun، مما قد يؤدي إلى تنفيذ كود عن بُعد للمستخدمين الذين يستخدمون خادم واجهة برمجة التطبيقات الخاص بـ Vitest.التوصيات
قم بالتحديث إلى الإصدار 1.6.1 من Vitest أو أحدث.
قم بالتحديث إلى الإصدار 2.1.9 من Vitest أو أحدث.
قم بالتحديث إلى الإصدار 3.0.5 من Vitest أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾