CVE-2025-24963

概要

Vitestは、Viteを基盤とするテストフレームワークです。ブラウザモードのHTTPサーバー上の`__screenshot-error`ハンドラーは、ファイルシステム上の任意のファイルに応答します。特に、`browser.api.host: true`によってサーバーがネットワークに公開されている場合、攻撃者はリモートからそのハンドラーにリクエストを送信し、任意のファイルの内容を取得できます。ブラウザモードのHTTPサーバー上のこの`__screenshot-error`ハンドラーは、ファイルシステム上の任意のファイルに応答します。このコードはコミット`2d62051`によって追加されました。`browser.api.host: true`によってブラウザモードのサーバーをネットワークに明示的に公開しているユーザーは、任意のファイルが公開される可能性があります。この問題はバージョン2.1.9および3.0.4で対処されています。ユーザーはアップグレードすることをお勧めします。この脆弱性に対する既知の回避策はありません。

• CVE-2025-24963PoC

  CVE-2025-24963の概念実証エクスプロイト。Vitestブラウザモードにおける__screenshot-errorハンドラを介したローカルファイル読み取りの脆弱性で、公開サーバー上で任意のファイルを開示することが可能。