Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • CWE-22

CVE-2026-112950

Vitest'te Windows ters eğik çizgi ile dizin geçişi, @vitest/mocker yönlendirme izin listesi düzeltmesini atlatıyor

@vitest mockervitest-dev vitest

Orta 5,9 CVSS 3.1
Yayımlandı
Güncellendi
28 Eki 2026
Açık yaşı
8 gün
Kaydı açan
GitHub_M

ÖzetTürkçe

Vitest, JavaScript ve TypeScript projeleri için Vite tabanlı bir test çerçevesidir. 4.1.11 sürümünden 4.1.12 sürümüne kadar ve 5.0.3 sürümüne kadar, packages/mocker/src/node/interceptorPlugin.ts dosyasındaki isFileLoadingAllowed fonksiyonu ile dosya sistemi okuması, Windows üzerinde ters eğik çizgileri farklı yorumlamaktadır. Bir istemci Windows üzerinde Vite geliştirme sunucusuna erişebiliyorsa ve ters eğik çizgiyle dizin geçişi içeren bir yönlendirme taklidi (redirect mock) kaydederse, POSIX tarzı birleştirme Windows ters eğik çizgi geçişini korur; bu geçiş daha sonra dosya sistemi okumasında yol ayracı olarak yorumlanır. Böylece istemci, server.fs.allow listesi dışında kalan ve Vitest sürecinin erişebildiği bir dosyayı okuyabilir. Bu sorun 4.1.12 ve 5.0.3 sürümlerinde giderilmiştir. CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N vektörüyle 5.9 (ORTA) puanına sahiptir.

Kaynaktaki açıklama (İngilizce)

Vitest is a Vite-native testing framework for JavaScript and TypeScript projects. From 4.1.11 until 4.1.12 and 5.0.3, isFileLoadingAllowed and the filesystem read interpret backslashes differently on Windows in packages/mocker/src/node/interceptorPlugin.ts. When a client can reach the Vite dev server on Windows and register a redirect mock containing backslash traversal, POSIX joining preserves a Windows backslash traversal that the later filesystem read interprets as a path separator, so the client can read a file outside server.fs.allow that the Vitest process can access. This issue is fixed in versions 4.1.12 and 5.0.3.

Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.

Etkilenen sürümler2 yazılım

YazılımEtkilenenDüzeltildiği sürüm
@vitest mocker Sürüm belirtilmemiş –
vitest-dev vitest Sürüm belirtilmemiş –

Kaynaklar7 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.