CVE-2026-73653

Nome do Software Vulnerável e Versões Afetadas Vitest versões anteriores a 3.2.7 Vitest versões anteriores a 4.1.10 Vitest versões anteriores a 5.0.0-beta.6

Description Os comandos do provedor do Browser Mode, especificamente upload(), takeScreenshot(), screenshotMatcher(), stopChunkTrace(), deleteTracing() e annotateTraces(), aceitam caminhos de arquivos fornecidos pelo navegador sem aplicar a trava de permissão allowWrite ou restringir os caminhos à raiz do projeto. Isso permite que um cliente com acesso à API do Browser Mode leia arquivos locais arbitrários, crie ou sobrescreva arquivos de imagem e rastreamento, ou exclua arquivos acessíveis ao processo, mesmo que o allowWrite esteja definido como falso.

Recommendations Atualize para a versão 3.2.7 ou posterior. Atualize para a versão 4.1.10 ou posterior. Atualize para a versão 5.0.0-beta.6 ou posterior.