Vitestの開発サーバーで.envや鍵が見える欠陥 5.0.5へ、UIを外に出さない

JavaScriptのテストの道具「Vitest」で、開発サーバーに関わる欠陥2件が、10月22日(日本時間)に公表されました。1件は、Vitest 5の開発サーバーから、.envや秘密鍵、.gitなどが読めてしまうものです。もう1件は、モックの登録の窓口から、任意のコードを差し込めるものです。どちらも、Vitestが通信の待ち受けをしているときに、そのサーバーに届く人がいると起きます。開発者のパソコンやCIで、待ち受けを外に出していないかを確かめてください。

CVE-2026-112948: .envや鍵、.gitが読める

Vitestの勧告によると、Vitest 5では、Viteの「この場所のファイルは出さない」という設定(server.fs.deny)が、Vitestの開発サーバーで思ったとおりに効いていませんでした。そのため、サーバーによっては、Viteがふだん出さないファイルが、ふつうのHTTPで読めました。

• 読めるもの: .env、秘密鍵や証明書、.npmrc、.git、Vitest自身の認証の鍵のファイル(.vitest-secret-token)
• 起きる場面: UI(--ui)、ブラウザのモード、APIを有効にして、Vitestが待ち受けをしているとき。ふつうのvitestとvitest runは待ち受けをしないので対象外
• ブラウザのモードで複数のプロジェクト(test.projects)を使う場合: 開発者が別の悪いWebサイトを開くと、そのサイトから.envの値の一部を読まれうる
• 認証の鍵を取られると: UIやAPIを使えるようになり、設定によってはテストのファイルを書き換えて動かせる

勧告は、影響を受けるのはVitestを動かしている機械だけで、作ったアプリには影響しないとしています。Vitest 4以前は対象外です。

CVE-2026-112949: モックの登録からコードを差し込める

もう1件は、テストのためにモジュールを差し替える部品(@vitest/mocker)の欠陥です。開発サーバーの通信の窓口(WebSocket)が、モックの登録を認証なしで受け付け、登録された値を確かめずにコードの中に入れていました。そのため、開発サーバーにつなげる人は、プロジェクトの好きなモジュールの中身を任意のJavaScriptに差し替えられ、それが開発者のブラウザで動きます。

勧告は、ほかのWebサイトのブラウザからは、Vite 8がこの窓口への接続を断るため届かず、届くのはサーバーのポートに直接つなげる人だとしています。ファイルは書き換えないため、リポジトリに跡が残らない点に注意が要ります。修正版は@vitest/mocker 4.1.12と5.0.3です。

影響する会社・しない会社

• 影響する: 社内でJavaScript・TypeScriptを開発し、テストにVitest 5を使っている会社です。とくに、UIやブラウザのモードを使い、開発用のコンテナのポートを公開したり、リモートの開発環境で待ち受けを外に出したりしている場合です。
• 影響する: @vitest/mockerを直接使う(mockerPlugin()やinterceptorPlugin())開発をしている会社です。Vitest 4系でも4.1.12未満は対象です。
• 影響しない: Vitestを使っていない会社です。ふつうのvitest・vitest runだけで、UIやブラウザのモード、APIを使っていない場合も、CVE-2026-112948は対象外です。

同じ週には、土台のViteの開発サーバーの欠陥も公表されています(Viteに開発サーバーの脆弱性3件、ファイル露出などの条件を確認)。

情シスが今日やること

1. 使っているプロジェクトを洗い出す。 開発部門に、package.jsonやロックファイルにvitest、@vitest/ui、@vitest/browser、@vitest/mocker、vite-plusがあるかと、その版を確かめてもらいます。
2. 修正版に上げる。 vitestは5.0.5以上、@vitest/mockerは4.1.12か5.0.3以上、vite-plusは1.3.0以上に上げます。@vitest/uiと@vitest/browserは、vitestと同じ版にそろえる必要があります。
3. 待ち受けを外に出さない。 UIやAPIの待ち受け(api.hostなど)を、社内の他の人や社外から届く場所に出していないか、開発用のコンテナやリモートの開発環境のポートの公開を確かめます。
4. .envの中身を見直す。 開発者のパソコンの.envに、本番の鍵やパスワードを置いていないかを確かめます。置いていた場合で、上の条件にあてはまっていたなら、その鍵を替えることも考えます(当社の見立て)。