Veille sécuritéFrontend
P4Moyenne
Vitest peut mal appliquer `server.fs.deny` sur ses serveurs de développement, exposant des fichiers de projet ou le jeton API de secours. Le mode Browser avec `test.projects` peut également divulguer des valeurs `.env` compatibles JavaScript à un site malveillant.
JavaScript
IdentifiantCVE-2026-112948
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif5.0.5
Source : NVD — CVE-2026-112948
Analyse technique
Les serveurs de projet remplacent les valeurs par défaut de Vite et le serveur racine ajoute `.vitest-secret-token` après la compilation de son mécanisme de filtrage. L’exploitation suppose que l’attaquant puisse joindre le serveur UI, Browser Mode ou API concerné.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-20 à 16:17:05 UTC, soit dans la période demandée (+02:00).
ImpactDes fichiers de projet refusés, le jeton API de secours et, dans certaines configurations Browser Mode, des valeurs `.env` peuvent être exposés.
Versions affectéesVitest 5.0.0-beta.6 à 5.0.4
Version corrigée5.0.5
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
Publication2026-10-20T18:17:05.517+02:00
Mise à jour2026-10-20T21:56:45.543+02:00
Action recommandée
Mettre à niveau Vitest vers la version 5.0.5.
Sources
Priorisation DFS : P4 · 1 source(s).