CVE-2025-24963 - Vitest Browser Mode - स्थानीय फ़ाइल पढ़ना

​CVE-2025-24963 एक मध्यम-गंभीरता वाली कमज़ोरी है (CVSS 3.1 स्कोर: 5.9) जो @vitest/browser पैकेज को प्रभावित करती है, जो Vite द्वारा संचालित Vitest परीक्षण ढाँचे का एक घटक है। यह कमज़ोरी ब्राउज़र मोड HTTP सर्वर के __screenshot-error हैंडलर में अनुचित इनपुट सत्यापन से उत्पन्न होती है। जब सर्वर को कॉन्फ़िगरेशन विकल्प browser.api.host: true का उपयोग करके नेटवर्क पर उजागर किया जाता है, तो एक हमलावर सर्वर की फ़ाइल सिस्टम पर मनमानी फ़ाइलों तक पहुँचने के लिए विशेष रूप से तैयार अनुरोध भेज सकता है, जिससे संभावित रूप से संवेदनशील जानकारी का अनधिकृत प्रकटीकरण हो सकता है।

प्रभावित संस्करण

कमज़ोरी निम्नलिखित @vitest/browser संस्करणों को प्रभावित करती है:​

• 2.0.4 से 2.1.8
• 3.0.0 से 3.0.3​

शमन (Mitigation)

यह समस्या संस्करण 2.1.9 और 3.0.4 में संबोधित की गई है। उपयोगकर्ताओं को दृढ़ता से सलाह दी जाती है कि वे कमज़ोरी को कम करने के लिए इन या बाद के संस्करणों में अपग्रेड करें।​

वर्कअराउंड