人気のJavaScriptテストフレームワーク「Vitest」に複数の深刻な脆弱性が見つかった。開発環境を標的にリモートコード実行や機密ファイル窃取が可能になる恐れがあり、数千万規模の利用環境へ影響する可能性がある。
最も深刻な問題の一つであるCVE-2026-47428は、Webインターフェースにおけるスクリプトインジェクションの脆弱性だ。攻撃者は細工したURLを通じて任意のJavaScriptを実行し、認証トークンを窃取できる。その後、vite.config.tsなどの設定ファイルを書き換え、Node.js経由で任意コードを実行できる可能性がある。
さらにCVE-2026-47429では、Windows環境でパストラバーサルが発生し、認証なしでプロジェクト外のファイルへアクセスできる恐れがある。また別の脆弱性では、Chrome DevTools Protocolへのアクセス制御不備を悪用し、プロジェクト内へ不正ファイルを配置してコード実行につなげられるという。
Vitestは週5,300万回以上ダウンロードされる人気プロジェクトであり、開発者PCやCI/CD環境が主な影響対象となる。
開発チームは修正版として4.1.6および5.0.0-beta.3を公開した。新たにallowWriteやallowExecなどの制御機能が追加され、公開ネットワークへバインドされた環境では危険な操作が既定で無効化される。利用者には速やかな更新が推奨されている。
securityonline.info/vitest-r…