PT-2025-5608 · Vitest · Vitest

Sapphi-Red · Publicado 2025-01-29 · Atualizado 2026-02-19 · CVE-2025-24964

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Vitest de 1.6.0 a 3.0.4

Descrição O Vitest, um framework de testes baseado no Vite, está suscetível à execução arbitrária de código remoto quando acessado via um site malicioso enquanto o servidor API do Vitest estiver em escuta. Isso se deve a uma vulnerabilidade de Sequestro de WebSocket entre sites (CSWSH). Quando a opção api está habilitada (o que a UI do Vitest faz por padrão), o Vitest inicia um servidor WebSocket que não verifica o cabeçalho Origin nem implementa nenhum mecanismo de autorização. Este servidor inclui as APIs saveTestFile e rerun. Um atacante pode explorar isso injetando código em um arquivo de teste usando a API saveTestFile e, em seguida, executando esse código chamando a API rerun, potencialmente levando à execução de código remoto para usuários que utilizam a API serve do Vitest.

Recomendações Atualize para a versão 1.6.1 do Vitest ou posterior. Atualize para a versão 2.1.9 do Vitest ou posterior. Atualize para a versão 3.0.5 do Vitest ou posterior.

Exploit

Correção

RCE

Enumeração de Fraquezas

CWE-1385

Identificadores relacionados

BDU:2025-01160

CVE-2025-24964

GHSA-9CRC-Q9X8-HGQQ

Produtos afetados

Vitest

Referências · 27

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/24xxx/CVE-2025-24964.json · Exploit
• https://github.com/vitest-dev/vitest · Nota
• https://github.com/vitest-dev/vitest/security/advisories/GHSA-9crc-q9x8-hgqq · Aviso do Fabricante
• https://github.com/vitest-dev/vitest/blob/9a581e1c43e5c02b11e2a8026a55ce6a8cb35114/packages/vitest/src/api/setup.ts#L32-L46 · Nota
• https://github.com/vitest-dev/vitest/blob/9a581e1c43e5c02b11e2a8026a55ce6a8cb35114/packages/vitest/src/api/setup.ts#L66-L76 · Nota
• https://github.com/vitest-dev/vitest/commit/e0fe1d81e2d4bcddb1c6ca3c5c3970d8ba697383 · Nota
• https://github.com/vitest-dev/vitest/commit/7ce9fbb4972d45c6fd34c843645ef6f549bbb241 · Nota
• https://github.com/vitest-dev/vitest/commit/191ef9e34c867d0efd04f49b3d38193a68e825dc · Nota
• https://t.me/pentestingnews/56218 · Publicação no Telegram
• https://twitter.com/Dinosn/status/1887712286355128379 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2025-01160 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2025-24964 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-9crc-q9x8-hgqq · Aviso do Fabricante
• https://twitter.com/Komodosec/status/1898569475672424630 · Publicação no Twitter
• https://twitter.com/nillpo/status/1887015800881733859 · Publicação no Twitter