CVE-2025-24964

إصدارات Vitest من 1.6.0 إلى 3.0.4

Vitest، وهو إطار عمل للاختبار يعتمد على Vite، معرض لتنفيذ تعليمات برمجية عشوائية عن بُعد عند الوصول إليه عبر موقع ويب ضار أثناء استماع خادم واجهة برمجة التطبيقات (API) الخاص بـ Vitest. ويرجع ذلك إلى ثغرة أمنية تُعرف باسم «اختطاف WebSocket بين المواقع» (CSWSH). عندما تكون الخيار api ممكّنًا (وهو ما تفعله واجهة المستخدم لـ Vitest بشكل افتراضي)، يقوم Vitest بتشغيل خادم WebSocket لا يتحقق من رأس Origin ولا يطبق أي آلية للتوثيق. يتضمن هذا الخادم واجهتي برمجة التطبيقات saveTestFile وrerun. يمكن للمهاجم استغلال هذه الثغرة عن طريق حقن كود في ملف اختبار باستخدام واجهة برمجة التطبيقات saveTestFile، ثم تنفيذ هذا الكود باستدعاء واجهة برمجة التطبيقات rerun، مما قد يؤدي إلى تنفيذ كود عن بُعد للمستخدمين الذين يستخدمون خادم واجهة برمجة التطبيقات الخاص بـ Vitest.

قم بالتحديث إلى الإصدار 1.6.1 من Vitest أو أحدث.

قم بالتحديث إلى الإصدار 2.1.9 من Vitest أو أحدث.

قم بالتحديث إلى الإصدار 3.0.5 من Vitest أو أحدث.