Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Vitest 是由 Vite 提供支持的测试框架。从 4.1.11 until 和 5.0.0-rc.2 起2.1.0，packages/mocker/src/node/interceptorPlugin.ts 中的公共 mockerPlugin 和独立式 interceptorPlugin 导出在 Vite 未经身份验证的 HMR WebSocket 上注册 vitest：interceptor：register 处理程序，而未针对 file-serving 允许列表验证重定向目标。该实现通过 isFileLoadingAllowed 在不强制执行 server.fs.allow 和 server.fs.deny 的情况下处理 event.redirect。可访问暴露的开发服务器的远程客户端可提交不透明的 URL 方案，从而保留 ..
    段，从而造成 join（server.config.root， redirectUrl.pathname） 在项目根外部解析。然后，插件的加载挂钩会返回 readFile（mock.redirect， 'utf-8'） 作为模块源，进而泄露开发服务器进程可读取的本地文件。Vitest 浏览器模式使用令牌认证的 RPC，默认情况下并非远程取消认证，尽管该路径上缺少相同的边界检查。此问题已在版本 4.1.11 和 5.0.0-rc.2 中修复。（CVE-2026-84373）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-84373

medium Nessus 插件 ID 342338

版本 1.2