JVNDB-2025-023622

 Vitest.devのVitestにおける WebSocket でのオリジン検証の欠如に関する脆弱性

VitestはViteをベースとしたテストフレームワークです。影響を受けるバージョンでは、VitestのAPIサーバーがリスニング中にユーザーが悪意のあるウェブサイトにアクセスすると、クロスサイトWebSocketハイジャック（CSWSH）攻撃によって任意のリモートコードが実行されるおそれがあります。`api`オプションが有効な場合（Vitest UIで有効化されます）、VitestはWebSocketサーバーを起動します。このWebSocketサーバーにはOriginヘッダーの検証や認証機構がなく、CSWSH攻撃に対して脆弱です。このWebSocketサーバーにはテストファイルを編集できる`saveTestFile` APIと、テストを再実行できる`rerun` APIがあります。攻撃者は`saveTestFile` APIを使ってテストファイルにコードを注入し、そのファイルを`rerun` APIで実行させることで任意のコードを実行できます。この脆弱性によって、Vitest serve APIを利用するユーザーはリモートコード実行のリスクにさらされます。本問題はバージョン1.6.1、2.1.9、3.0.5で修正されました。ユーザーはアップグレードすることが推奨されます。本脆弱性に対する既知の回避策は存在しません。

Vitest.dev

• Vitest 0.0.125 およびそれ以前
• Vitest 1.0.0 以上 1.6.1 未満
• Vitest 2.0.0 以上 2.1.9 未満
• Vitest 3.0.0 以上 3.0.5 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Remote Code Execution when accessing a malicious website while Vitest API server is listening  Advisory  vitest-dev/vitest  GitHub

1. WebSocket でのオリジン検証の欠如(CWE-1385) [その他]

1. CVE-2025-24964

1. National Vulnerability Database (NVD) : CVE-2025-24964
2. 関連文書 : vitest/packages/vitest/src/api/setup.ts at 9a581e1c43e5c02b11e2a8026a55ce6a8cb35114  vitest-dev/vitest  GitHub (https://github.com/vitest-dev/vitest/blob/9a581e1c43e5c02b11e2a8026a55ce6a8cb35114/packages/vitest/src/api/setup.ts#L66-L76)
3. 関連文書 : api | Config | Vitest
4. 関連文書 : vitest/packages/vitest/src/api/setup.ts at 9a581e1c43e5c02b11e2a8026a55ce6a8cb35114  vitest-dev/vitest  GitHub (https://github.com/vitest-dev/vitest/blob/9a581e1c43e5c02b11e2a8026a55ce6a8cb35114/packages/vitest/src/api/setup.ts#L32-L46)

• [2026年01月06日]
    掲載