跳到正文
热点事件持续更新

Vitest Windows 路径穿越修复被反斜杠绕过

1 篇报道1 个报道来源1 天前更新

先了解这件事

AI 综述

GitHub 安全公告披露，@vitest/mocker 针对 GHSA-82fw-gwwq-j7x9 的路径穿越修复在 Windows 上可被反斜杠绕过。修复代码用 node:path/posix 拼接攻击者可控的 URL pathname 与 Vite root；在 Windows 上，像 C:/project/root/..\secret.txt 这样的值在 POSIX 拼接后仍保留 ..\，且以允许的根目录开头，因此白名单会放行。 公告称已在 2026-09-30 发布的 @vitest/mocker 5.0.3（PR #11377）中修复，并回移植到 4.1.12。公告表示，已在两条已修复的发布线中用公开的 @vitest/mocker 包复现该问题。

AI 根据报道生成 · 16 小时前更新

最新进展10月22日 03:48
Vitest 的 @vitest/mocker 重定向白名单修复在 Windows 上可被反斜杠路径穿越绕过

报道时间线

沿着报道，了解事件的不同侧面。

10月22日
  1. GitHub 安全公告库 (GHSA)精选
    Vitest 的 @vitest/mocker 重定向白名单修复在 Windows 上可被反斜杠路径穿越绕过

    GitHub 安全公告披露，@vitest/mocker 针对 GHSA-82fw-gwwq-j7x9 的路径穿越修复在 Windows 上可被反斜杠绕过：修复代码用 node:path/posix 拼接攻击者可控的 URL pathname 与 Vite root。

本事件热度走势

可比范围当前
5
可比范围峰值
810月22日 12:00
近 24 小时变化
–

趋势仅比较持续完整观测到的相同主体，范围可能小于当前热度统计。移动指针或点击图表查看每小时热度；键盘可用左右方向键切换。