GitHub 安全公告库 (GHSA)·· 22 小时前AI 评分47
@vitest/mocker 未认证 mock 注册导致代码注入,5.0.3 与 4.1.12 已修复
Vitest: Code injection via unauthenticated manual mock registration
AI 导读
@vitest/mocker 的 interceptorPlugin 在 Vite 开发服务器 WebSocket 上接受未认证的 mock 注册,并把 mock 的 url 未转义地插入生成的模块源码,能访问开发服务器端口的非浏览器 WebSocket 客户端可让服务器以任意 JavaScript 替换项目模块,并在开发者浏览器中执行。
来源:GitHub 安全公告库 (GHSA) · github.com