- CWE-200
- CWE-552
CVE-2026-112948
Vitest'te server.fs.deny yanlış uygulanıyor; .env, özel anahtarlar ve API belirteci ifşa olabiliyor
- Yayımlandı
- Güncellendi
- 20 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Vitest, Vite tarafından desteklenen bir test çerçevesidir. 5.0.0-beta.6 ile 5.0.5 sürümleri arasında, Vitest geliştirme sunucuları server.fs.deny ayarını yanlış uygular; çünkü proje sunucuları Vite'in varsayılanlarının yerine geçer ve kök sunucu, Vite matcher'ını derledikten sonra .vitest-secret-token dosyasını ekler. Etkilenen bir UI, Browser Mode veya API sunucusuna erişebilen bir saldırgan, reddedilmesi gereken proje dosyalarını veya node_modules/.vitest/.vitest-secret-token konumundaki yedek API belirtecini okuyabilir. Ayrıca test.projects kullanan Browser Mode, JavaScript ile uyumlu .env değerlerini kötü amaçlı bir web sitesi aracılığıyla açığa çıkarabilir. Bu sorun 5.0.5 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Vitest is a testing framework powered by Vite. From 5.0.0-beta.6 until 5.0.5, Vitest dev servers can misapply server.fs.deny because project servers replace Vite's defaults and the root server adds .vitest-secret-token after Vite compiles its matcher. An attacker who can reach an affected UI, Browser Mode, or API server can read denied project files or the fallback API token at node_modules/.vitest/.vitest-secret-token, and Browser Mode with test.projects can expose JavaScript-compatible .env values through a malicious website. This issue is fixed in version 5.0.5.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler4 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| @vitest browser | Sürüm belirtilmemiş | – |
| @vitest ui | Sürüm belirtilmemiş | – |
| vitejs vite-plus | Sürüm belirtilmemiş | – |
| vitest-dev vitest | Sürüm belirtilmemiş | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.