GitHub 安全公告库 (GHSA)·2026-10-22 03:48· 23 小时前精选AI 评分58

Vitest 的 @vitest/mocker 重定向白名单修复在 Windows 上可被反斜杠路径穿越绕过

Vitest: Windows backslash traversal bypasses the @vitest/mocker redirect allowlist fix

AI 导读

GitHub 安全公告披露，@vitest/mocker 针对 GHSA-82fw-gwwq-j7x9 的路径穿越修复在 Windows 上可被反斜杠绕过：修复代码用 node:path/posix 拼接攻击者可控的 URL pathname 与 Vite root。

为什么值得看

作者用可运行脚本对比正斜杠与反斜杠两种遍历，说明已修复的路径穿越在 Windows 上仍可绕过。