- CWE-94
- CWE-116
- CWE-306
CVE-2026-112949
Vitest'te kimlik doğrulaması olmayan manuel mock kaydı üzerinden kod enjeksiyonu
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Vitest, JavaScript ve TypeScript projeleri için Vite tabanlı bir test çatısıdır. 2.1.0-beta.7 sürümünden 4.1.12 ve 5.0.3 sürümlerine kadar, interceptorPlugin kullanan bir geliştirme sunucusuna erişebilen, kimlik doğrulaması yapılmamış tarayıcı dışı bir WebSocket istemcisi, saldırganın kontrolündeki url değerini içeren bir manuel mock kaydı oluşturabilmektedir. Bu url değeri createManualModuleSource tarafından üretilen modül kaynak koduna kaçışlanmadan (escape edilmeden) eklenmektedir. Geliştiricinin tarayıcısı etkilenen modülü yüklediğinde, saldırganın kontrolündeki JavaScript kodu geliştirme sunucusunun kaynağı (origin) üzerinde çalışır. Sorun 4.1.12 ve 5.0.3 sürümlerinde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Vitest is a Vite-native testing framework for JavaScript and TypeScript projects. From 2.1.0-beta.7 until 4.1.12 and 5.0.3, an unauthenticated non-browser WebSocket client that can reach a development server using interceptorPlugin can register a manual mock whose attacker-controlled url createManualModuleSource inserts unescaped into generated module source. When the developer browser loads the affected module, attacker-controlled JavaScript executes on the development-server origin. This issue is fixed in versions 4.1.12 and 5.0.3.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| @vitest mocker | Sürüm belirtilmemiş | – |
| vitest-dev vitest | Sürüm belirtilmemiş | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…vitest/security/advisories/GHSA-qxg6-89mg-rqv8 Diğer
- github.com/…ommit/15cc006aa9f8683dc5f7e895d011fa7dc751ce35 Diğer
- github.com/…ommit/b825313243dc55757e8d7c0f9e7a792135e13473 Diğer
- github.com/vitest-dev/vitest/releases/tag/v4.1.12 Diğer
- github.com/vitest-dev/vitest/releases/tag/v5.0.3 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.