‹ Volver al listado

CVE-2026-112948

Estado: Pendiente de análisisMedia (6.5)—
Gravedad6.5Media · CVSS 3.1
Probabilidad de explotación—en los próximos 30 días
Explotación activaNono figura en el catálogo de CISA
Exploit públicoNo conocidosin código público localizado

Vitest es un framework de pruebas basado en Vite. Desde la 5.0.0-beta.6 hasta la 5.0.5, los servidores de desarrollo de Vitest pueden aplicar incorrectamente server.fs.deny, porque los servidores de proyecto sustituyen los valores predeterminados de Vite y el servidor raíz añade .vitest-secret-token después de que Vite compile su comparador de patrones. Un atacante que pueda acceder a una interfaz de usuario, al modo Browser Mode o a un servidor de API afectados puede leer archivos de proyecto denegados o el token de API de reserva en node_modules/.vitest/.vitest-secret-token, y el modo Browser Mode con test.projects puede exponer valores de .env compatibles con JavaScript a través de un sitio web malicioso. Este problema está corregido en la versión 5.0.5.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
6.5
Versión
3.1
Vector
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N

Probabilidad de explotación (EPSS)

FIRST aún no ha puntuado esta CVE (habitual en CVEs muy recientes o rechazadas).

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

El vector CVSS indica UI:R, así que la explotación es T1203; el texto cita lectura de archivos denegados y del token API en node_modules/.vitest/.vitest-secret-token (T1005, T1552.001).

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

User TrainingRestrict File and Directory PermissionsPassword PoliciesAuditApplication Isolation and SandboxingExploit Protection

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Vitest.dev — VitestAI

CWE

Referencias

Mostrar las 4 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-112948",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-112948",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-20T16:16:51.150771Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 6.5,
          "attackVector": "NETWORK",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N",
          "integrityImpact": "NONE",
          "userInteraction": "REQUIRED",
          "attackComplexity": "LOW",
          "availabilityImpact": "NONE",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 3.6,
        "exploitabilityScore": 2.8
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "vitest-dev",
          "product": "vitest",
          "versions": [
            {
              "status": "affected",
              "version": ">= 5.0.0-beta.6, < 5.0.5"
            }
          ]
        },
        {
          "vendor": "@vitest",
          "product": "browser",
          "versions": [
            {
              "status": "affected",
              "version": ">= 5.0.0-beta.6, < 5.0.5"
            }
          ]
        },
        {
          "vendor": "@vitest",
          "product": "ui",
          "versions": [
            {
              "status": "affected",
              "version": ">= 5.0.0-beta.6, < 5.0.5"
            }
          ]
        },
        {
          "vendor": "vitejs",
          "product": "vite-plus",
          "versions": [
            {
              "status": "affected",
              "version": ">= 1.0.0-rc.0, < 1.3.0"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-20T16:17:05.517",
  "references": [
    {
      "url": "https://github.com/vitest-dev/vitest/commit/28dc1edfb6ba5a181fe208576989063795aeadb3",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/vitest-dev/vitest/pull/11578",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/vitest-dev/vitest/releases/tag/v5.0.5",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/vitest-dev/vitest/security/advisories/GHSA-p458-7748-mcp3",
      "source": "security-advisories@github.com"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-200"
        },
        {
          "lang": "en",
          "value": "CWE-552"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Vitest is a testing framework powered by Vite. From 5.0.0-beta.6 until 5.0.5, Vitest dev servers can misapply server.fs.deny because project servers replace Vite's defaults and the root server adds .vitest-secret-token after Vite compiles its matcher. An attacker who can reach an affected UI, Browser Mode, or API server can read denied project files or the fallback API token at node_modules/.vitest/.vitest-secret-token, and Browser Mode with test.projects can expose JavaScript-compatible .env values through a malicious website. This issue is fixed in version 5.0.5."
    }
  ],
  "lastModified": "2026-10-20T19:56:45.543",
  "sourceIdentifier": "security-advisories@github.com"
}