跳到正文
GitHub 安全公告库 (GHSA)·· 22 小时前AI 评分47

@vitest/mocker 未认证 mock 注册导致代码注入,5.0.3 与 4.1.12 已修复

Vitest: Code injection via unauthenticated manual mock registration

AI 导读

@vitest/mocker 的 interceptorPlugin 在 Vite 开发服务器 WebSocket 上接受未认证的 mock 注册,并把 mock 的 url 未转义地插入生成的模块源码,能访问开发服务器端口的非浏览器 WebSocket 客户端可让服务器以任意 JavaScript 替换项目模块,并在开发者浏览器中执行。

来源:GitHub 安全公告库 (GHSA) · github.com