GitHub 安全公告库 (GHSA)·· 21 小时前精选AI 评分58
Vitest 5 开发服务器未正确应用 server.fs.deny，可读取 .env、私钥与 API token 文件
Vitest: Servers misapply `server.fs.deny`, serving `.env`, private keys, `.git`, and the API token file
AI 导读
GitHub 安全公告指出，Vitest 5 在启用 UI（--ui）、Browser Mode 或 api 时，Vite 的 server.fs.deny 未被按预期应用，能访问该服务器的客户端可通过明文 HTTP 读取 .env、私钥与证书、.npmrc、.git 以及 Vitest 的 API token 文件 .vitest-secret-token。
为什么值得看
通告说明了哪些 Vitest 启动方式会暴露文件、哪些不受影响，并给出显式配置 server.fs.deny 的规避写法。
来源：GitHub 安全公告库 (GHSA) · github.com