‹ Volver al listado

CVE-2026-112950

Estado: Pendiente de análisisMedia (5.9)—
Gravedad5.9Media · CVSS 3.1
Probabilidad de explotación—en los próximos 30 días
Explotación activaNono figura en el catálogo de CISA
Exploit públicoNo conocidosin código público localizado

Vitest es un framework de pruebas nativo de Vite para proyectos de JavaScript y TypeScript. Desde la 4.1.11 hasta la 4.1.12 y la 5.0.3, isFileLoadingAllowed y la lectura del sistema de archivos interpretan de forma distinta las barras invertidas en Windows en packages/mocker/src/node/interceptorPlugin.ts.

Leer descripción completaMostrar menos

Cuando un cliente puede acceder al servidor de desarrollo de Vite en Windows y registra un mock de redirección que contiene un recorrido de directorios mediante barras invertidas (path traversal), la unión de rutas al estilo POSIX conserva un recorrido de barras invertidas propio de Windows que la posterior lectura del sistema de archivos interpreta como separador de rutas, por lo que el cliente puede leer un archivo fuera de server.fs.allow al que el proceso de Vitest sí tiene acceso. Este problema está corregido en las versiones 4.1.12 y 5.0.3.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
5.9
Versión
3.1
Vector
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

Probabilidad de explotación (EPSS)

FIRST aún no ha puntuado esta CVE (habitual en CVEs muy recientes o rechazadas).

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

El vector AV:N/PR:N/UI:N y la descripción indican que un cliente remoto sin privilegios alcanza el servidor Vite y lee archivos fuera de server.fs.allow (C:H), lo que encaja con T1005.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Vulnerability ScanningPrivileged Account ManagementNetwork SegmentationLimit Access to Resource Over NetworkFilter Network TrafficApplication Isolation and Sandboxing

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Vitest.dev — VitestAI

CWE

Referencias

Mostrar las 5 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-112950",
  "cveTags": [],
  "metrics": {
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 5.9,
          "attackVector": "NETWORK",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N",
          "integrityImpact": "NONE",
          "userInteraction": "NONE",
          "attackComplexity": "HIGH",
          "availabilityImpact": "NONE",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 3.6,
        "exploitabilityScore": 2.2
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "vitest-dev",
          "product": "vitest",
          "versions": [
            {
              "status": "affected",
              "version": ">= 4.1.11, < 4.1.12"
            },
            {
              "status": "affected",
              "version": ">= 5.0.0-rc.2, < 5.0.3"
            }
          ]
        },
        {
          "vendor": "@vitest",
          "product": "mocker",
          "versions": [
            {
              "status": "affected",
              "version": ">= 4.1.11, < 4.1.12"
            },
            {
              "status": "affected",
              "version": ">= 5.0.0-rc.2, < 5.0.3"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-20T16:17:05.807",
  "references": [
    {
      "url": "https://github.com/vitest-dev/vitest/commit/15cc006aa9f8683dc5f7e895d011fa7dc751ce35",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/vitest-dev/vitest/commit/b825313243dc55757e8d7c0f9e7a792135e13473",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/vitest-dev/vitest/releases/tag/v4.1.12",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/vitest-dev/vitest/releases/tag/v5.0.3",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/vitest-dev/vitest/security/advisories/GHSA-xp26-3454-mjgp",
      "source": "security-advisories@github.com"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "weaknesses": [
    {
      "type": "Primary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-22"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Vitest is a Vite-native testing framework for JavaScript and TypeScript projects. From 4.1.11 until 4.1.12 and 5.0.3, isFileLoadingAllowed and the filesystem read interpret backslashes differently on Windows in packages/mocker/src/node/interceptorPlugin.ts. When a client can reach the Vite dev server on Windows and register a redirect mock containing backslash traversal, POSIX joining preserves a Windows backslash traversal that the later filesystem read interprets as a path separator, so the client can read a file outside server.fs.allow that the Vitest process can access. This issue is fixed in versions 4.1.12 and 5.0.3."
    }
  ],
  "lastModified": "2026-10-20T19:56:45.543",
  "sourceIdentifier": "security-advisories@github.com"
}