🇰🇷 한글 설명
Vite 기반 테스트 프레임워크인 Vitest의 Windows 환경에서 /__vitest_attachment__ 경로에 대한 isFileServingAllowed 설정 오류로 인해 경로 탐색 취약점이 존재합니다. 이를 통해 프로젝트 외부 파일을 읽을 수 있으며, API의 쓰기 및 재실행 기능을 악용하여 임의의 스크립트를 실행할 수 있습니다.
💡 쉬운 설명
테스트 도구인 Vitest의 설정 실수로 인해 해커가 컴퓨터 내의 중요한 파일을 몰래 읽거나 악성 코드를 실행할 수 있는 보안 구멍이 발견되었습니다. 윈도우 운영체제에서 특히 위험하며, 허가되지 않은 파일 접근이 가능합니다.
🇺🇸 원문 (English)
Vitest is a testing framework powered by Vite. Prior to 3.2.5 and 4.1.0, the Vitest UI/API server on Windows used isFileServingAllowed incorrectly for /__vitest_attachment__, allowing \\?\\..\\ path traversal to read files outside the project; exposed API write and rerun features such as saveTestFile and rerun could also allow arbitrary script execution. This issue is fixed in versions 3.2.5 and 4.1.0.
📍 영향받는 시스템
Vitest 3.2.5 및 4.1.0 미만 버전 (Windows 환경)
⚔️ 공격 벡터
경로 탐색(Path Traversal)을 통한 파일 읽기 및 API 기능을 이용한 임의 코드 실행
🛡️ 대응 방법
Vitest를 최신 버전인 3.2.5 또는 4.1.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Vitest의 버전을 확인하여 3.2.5 또는 4.1.0 미만인지 체크합니다.
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
Storage Protect Snapshot for Windows