Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Vitest は、Vite で稼働するテストフレームワークです。2.1.0から 4.1.11 および 5.0.0-rc.2 まで、packages/mocker/src/node/interceptorPlugin.ts のパブリック mockerPlugin およびスタンドアロン interceptorPlugin エクスポートは、ファイル提供の許可リストに対してリダイレクトターゲットを検証せずに、Vite の認証されていない HMR WebSocket に vitest:interceptor:register ハンドラーを登録します。この実装では、isFileLoadingAllowedを介してserver.fs.allowとserver.fs.denyを強制せずにevent.redirectを処理します。露出された開発サーバーに到達できるリモートクライアントが、..
    これにより、join(server.config.root, redirectUrl.pathname) がプロジェクト root の外部で解決されます。次に、プラグインのロードフックがモジュールソースとして readFile(mock.redirect, 'utf-8') を返し、dev-server プロセスが読み取れるローカルファイルを漏洩します。Vitest ブラウザモードは、トークン認証済み RPC を使用しており、リモートからデフォルトで認証解除されていません。ただし、同じ境界検査がパスで欠如していました。この問題は、バージョン 4.1.11 および 5.0.0-rc.2 で修正されています。(CVE-2026-84373)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-84373

medium Nessus プラグイン ID 342338

バージョン 1.2

バージョン 1.1

バージョン 1.2 Sep 3, 2026, 1:08 PM CVSS metrics ("CVSSv2 score" set to 5.4) CVSS metrics ("CVSSv2 vector" set to "CVSS2#AV:N/AC:H/Au:N/C:C/I:N/A:N") Plugin Feed: 202609031308
バージョン 1.1 Sep 2, 2026, 11:39 PM New Plugin Feed: 202609022339