跳到正文
热点事件观察中

Vitest 手动 mock 注册代码注入漏洞公开

1 篇报道1 个报道来源1 天前更新

先了解这件事

AI 综述

GitHub 安全公告库发布 GHSA-qxg6-89mg-rqv8 公告及可复现 PoC：@vitest/mocker 的 interceptorPlugin 在 Vite 开发服务器 WebSocket 上接受未认证的 mock 注册，并将 mock 的 url 未转义地插入生成的模块源码。能访问开发服务器端口的非浏览器 WebSocket 客户端可让服务器以任意 JavaScript 替换项目模块，并在开发者浏览器中执行。 该问题仅影响开发环境，vite build 和 vite preview 不运行 configureServer。@vitest/mocker 5.0.3（2026-09-30 发布，PR #11377）已修复，并回移植到 4.1.12。

AI 根据报道生成 · 16 小时前更新

最新进展10月22日 03:54
@vitest/mocker 未认证 mock 注册导致代码注入，5.0.3 与 4.1.12 已修复

报道时间线

沿着报道，了解事件的不同侧面。

10月22日
  1. GitHub 安全公告库 (GHSA)
    @vitest/mocker 未认证 mock 注册导致代码注入，5.0.3 与 4.1.12 已修复

    @vitest/mocker 的 interceptorPlugin 在 Vite 开发服务器 WebSocket 上接受未认证的 mock 注册，并把 mock 的 url 未转义地插入生成的模块源码，能访问开发服务器端口的非浏览器 WebSocket 客户端可让服务器以任意 JavaScript 替换项目模块，并在开发者浏览器中执行。

本事件热度走势

可比范围当前
5
可比范围峰值
810月22日 12:00
近 24 小时变化
–

趋势仅比较持续完整观测到的相同主体，范围可能小于当前热度统计。移动指针或点击图表查看每小时热度；键盘可用左右方向键切换。