Veille sécuritéFrontend
P4Moyenne
Sous Windows, Vitest interprète différemment les antislashs dans le contrôle d’accès aux fichiers et dans leur lecture. Un client pouvant joindre le serveur de développement peut exploiter cette différence avec un mock de redirection pour lire un fichier situé hors de `server.fs.allow`.
JavaScriptTypeScript
IdentifiantCVE-2026-112950
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif4.1.12 et 5.0.3
Source : NVD — CVE-2026-112950
Analyse technique
Le contrôle `isFileLoadingAllowed` et la lecture du système de fichiers ne traitent pas de la même façon les chemins Windows. La vulnérabilité concerne `packages/mocker/src/node/interceptorPlugin.ts` et permet d’accéder aux fichiers lisibles par le processus Vitest.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-20 à 16:17:05 UTC, soit dans la période demandée (+02:00).
ImpactUn client pouvant atteindre le serveur Vitest sous Windows peut lire des fichiers accessibles au processus mais exclus de `server.fs.allow`.
Versions affectéesVitest 4.1.11 et versions antérieures à 4.1.12, ainsi que versions antérieures à 5.0.3 dans la branche 5
Version corrigée4.1.12 et 5.0.3
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.9
Publication2026-10-20T18:17:05.807+02:00
Mise à jour2026-10-20T21:56:45.543+02:00
Action recommandée
Mettre à niveau vers Vitest 4.1.12 ou 5.0.3, selon la branche utilisée.
Sources
Priorisation DFS : P4 · 1 source(s).