Veille sécuritéFrontend
P4Moyenne
Vitest permet, dans certaines configurations de serveur de développement, à un client WebSocket non authentifié de faire enregistrer un mock contenant une URL contrôlée par l’attaquant. Lorsque le navigateur du développeur charge le module généré, du JavaScript contrôlé peut s’exécuter sur l’origine du serveur de développement.
JavaScriptTypeScript
IdentifiantCVE-2026-112949
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif4.1.12 et 5.0.3
Source : NVD — CVE-2026-112949
Analyse technique
Le problème concerne `interceptorPlugin` : l’URL contrôlée est insérée sans échappement dans le code source généré par `createManualModuleSource`. La condition décrite inclut un serveur de développement accessible et le chargement du module affecté par le navigateur du développeur.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-20 à 16:17:05 UTC, soit dans la période demandée (+02:00).
ImpactUn attaquant pouvant joindre le serveur et enregistrer un mock peut faire exécuter du code JavaScript sur l’origine de développement lorsque le navigateur charge le module.
Versions affectéesVitest 2.1.0-beta.7 à 4.1.11, et versions antérieures à 5.0.3 dans la branche 5
Version corrigée4.1.12 et 5.0.3
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.7
Publication2026-10-20T18:17:05.660+02:00
Mise à jour2026-10-20T21:56:45.543+02:00
Action recommandée
Mettre à niveau vers Vitest 4.1.12 ou 5.0.3, selon la branche utilisée.
Sources
Priorisation DFS : P4 · 1 source(s).