PT-2025-5607 · Vitest · Vitest

Sapphi-Red · Publicado 2025-01-29 · Atualizado 2025-12-31 · CVE-2025-24963

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas: Versões do Vitest anteriores a 2.1.9 Versões do Vitest anteriores a 3.0.4

Descrição: O manipulador screenshot-error no servidor HTTP do modo de navegador responde a qualquer arquivo no sistema de arquivos. Se o servidor for exposto na rede através de browser.api.host: true, um atacante pode enviar uma solicitação para esse manipulador remotamente para obter o conteúdo de arquivos arbitrários. Este problema permite que atacantes leiam arquivos arbitrários no sistema.

Recomendações: Para versões anteriores a 2.1.9, atualize para a versão 2.1.9 ou posterior. Para versões anteriores a 3.0.4, atualize para a versão 3.0.4 ou posterior. Como solução alternativa temporária, considere desativar a configuração browser.api.host: true para impedir a exposição do servidor do modo de navegador à rede. Restrinja o acesso ao manipulador screenshot-error para minimizar o risco de exploração. Evite usar o parâmetro file no manipulador screenshot-error até que o problema seja resolvido.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

BDU:2026-07587

CVE-2025-24963

GHSA-8GVC-J273-4WM5

Produtos afetados

Vitest

Referências · 18

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/24xxx/CVE-2025-24963.json · Exploit
• https://github.com/vitest-dev/vitest/security/advisories/GHSA-8gvc-j273-4wm5 · Aviso do Fabricante
• https://github.com/vitest-dev/vitest · Nota
• https://github.com/vitest-dev/vitest/commit/2d62051f13b4b0939b2f7e94e88006d830dc4d1f · Correção
• https://github.com/vitest-dev/vitest/commit/ed9aeba212df04b83ed01810780663ff2cdd0adf · Nota
• https://github.com/vitest-dev/vitest/blob/f17918a79969d27a415f70431e08a9445b051e45/packages/browser/src/node/plugin.ts#L88-L130 · Nota
• https://t.me/brutsecurity/1534 · Publicação no Telegram
• https://twitter.com/hackergautam/status/1891042589047943625 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1886864883309789500 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2026-07587 · Nota de Segurança
• https://twitter.com/dephlow98/status/1891140027029102770 · Publicação no Twitter
• https://t.me/cveNotify/147320 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-8gvc-j273-4wm5 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-24963 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-24963 · Aviso do Fabricante