CVE-2026-84373

Nome do Software Vulnerável e Versões Afetadas Vitest versões 2.1.0 até 4.1.10 Vitest versões 5.0.0-rc.0 até 5.0.0-rc.1

Description As exportações mockerPlugin e interceptorPlugin em packages/mocker/src/node/interceptorPlugin.ts registram o manipulador vitest:interceptor:register no WebSocket HMR não autenticado. A implementação não valida os alvos de redirecionamento contra a lista de permissões de serviço de arquivos, pois não impõe server.fs.allow e server.fs.deny através da função isFileLoadingAllowed. Um cliente remoto com acesso a um servidor de desenvolvimento exposto pode enviar um esquema de URL opaco contendo segmentos .., fazendo com que o caminho seja resolvido fora da raiz do projeto. Consequentemente, o hook de carregamento do plugin retorna o conteúdo de arquivos locais legíveis pelo processo do servidor de desenvolvimento como fonte do módulo, resultando na divulgação de arquivos locais.

Recommendations Atualizar para a versão 4.1.11. Atualizar para a versão 5.0.0-rc.2.