Vitest-CVE-2026-73653: Kritische Lücke erlaubt Datei-Zugriffe über Browser Mode

Kurzfassung

In Vitest steckt eine kritische Schwachstelle, die über den Browser Mode ausgenutzt werden kann. Betroffen sind Versionen vor 3.2.7, 4.1.10 und 5.0.0-beta.6. Wer den Browser-Mode-Dienst erreichbar macht, riskiert Dateizugriffe auf dem lokalen System des Test-Rechners.

Das Problem ist besonders unangenehm, weil die Schutzfunktion für Schreibzugriffe umgangen wird. Ein Angreifer kann dann je nach Zugriff lokale Dateien lesen, Bilder und Trace-Dateien erzeugen oder überschreiben und auch Dateien löschen, auf die der Vitest-Prozess Rechte hat.

Was ist passiert?

Die Schwachstelle steckt in den Befehlen des Browser Mode von Vitest. Dazu gehören unter anderem Upload, Screenshot-Funktionen und mehrere Trace-Operationen. Diese Befehle übernehmen Dateipfade, die vom Browser kommen, ohne sauber zu prüfen, ob das Schreiben überhaupt erlaubt ist oder ob der Pfad im Projektverzeichnis bleibt.

Genau dort liegt der Fehler. Die Anwendung verlässt sich auf Eingaben, die sie nicht als vertrauenswürdig behandeln darf. Wer die Browser Mode API erreichen kann, bekommt damit einen Hebel auf das Dateisystem des Systems, auf dem Vitest läuft.

Technische Details

Der Hersteller bewertet die Lücke als kritisch. Das ist plausibel, denn der Fehler betrifft gleich mehrere sensible Aktionen: Datei lesen, Datei schreiben, Datei überschreiben und Datei löschen. Ob der Zugriff nur im Testkontext oder auch darüber hinaus möglich ist, hängt davon ab, wie die Browser Mode API im jeweiligen Setup freigegeben wurde.

Die betroffenen Versionen sind klar benannt: vor 3.2.7, vor 4.1.10 und vor 5.0.0-beta.6. Gefixt ist das Problem in 3.2.7, 4.1.10 und 5.0.0-beta.6. Ob weitere Zweige oder spätere Vorabversionen betroffen sind, lässt die Quelle offen.

Wer ist betroffen?

Direkt betroffen sind Teams, die Vitest mit Browser Mode einsetzen und die API von außen oder aus einem breiteren internen Netz erreichbar machen. Für reine локale Entwicklerumgebungen mit strikt isoliertem Testbetrieb sinkt das Risiko deutlich. Trotzdem bleibt die Lücke relevant, wenn Testsysteme in CI, auf geteilten Build-Servern oder in internen Netzen laufen.

Für Unternehmen im DACH-Raum heißt das vor allem: Testinfrastruktur gehört genauso gehärtet wie produktive Systeme. Wer Browser-Mode-Funktionen in Pipelines nutzt, sollte prüfen, ob fremde Prozesse, andere Projekte oder unsaubere Netzsegmentierung überhaupt Zugriff auf den Dienst bekommen können.

Empfohlene Maßnahmen

Erstens: Vitest sofort aktualisieren. Das ist hier die saubere Lösung. Je nach eingesetztem Zweig auf mindestens 3.2.7, 4.1.10 oder 5.0.0-beta.6 gehen.

Zweitens: Den Browser Mode nur dort aktivieren, wo er wirklich gebraucht wird. Wenn die API nicht laufen muss, abschalten. Wenn sie laufen muss, dann nur lokal oder in eng begrenzten Netzen, nie offen im Segment.

Drittens: CI-Runner und Testmaschinen prüfen. Wer gemeinsame Runner nutzt, sollte nachsehen, ob andere Jobs auf denselben Dienst zugreifen können. Zusätzlich lohnt sich ein Blick auf Dateirechte des Vitest-Prozesses. Minimale Rechte begrenzen den Schaden.

Viertens: Logs kontrollieren. Unerwartete Dateioperationen, neue Trace-Dateien oder auffällige Uploads können auf Missbrauch hindeuten. Wer in einer Build-Umgebung schon ungewöhnliche Pfade sieht, sollte das ernst nehmen.

Einschätzung von CyberSecurity-News.de

Die Lücke ist fachlich klar und in der Praxis relevant. Sie trifft kein exotisches Randfeature, sondern einen Teil des Testbetriebs, den manche Teams zu locker absichern. Genau das macht solche Fehler gefährlich: Sie sitzen nicht im Produktivsystem, aber oft dicht genug dran, um Schaden anzurichten.

Die Informationslage ist zugleich nüchtern. Die Quelle nennt den technischen Kern und die betroffenen Versionen, mehr nicht. Das reicht für eine belastbare Warnung, aber nicht für große Dramatisierung. Wer Vitest einsetzt, sollte jetzt patchen und den Zugriff auf den Browser Mode überprüfen. Wer es nicht einsetzt, kann die Meldung zur Kenntnis nehmen und weitergehen.

Fazit

CVE-2026-73653 ist eine kritische Vitest-Schwachstelle mit echtem Praxisbezug. Das Problem betrifft Dateizugriffe über den Browser Mode und kann bei erreichbarer API zu Lesen, Schreiben oder Löschen lokaler Dateien führen. Für Teams mit offener oder schlecht segmentierter Testinfrastruktur ist das kein theoretisches Risiko.

Der richtige Schritt ist schlicht: Version prüfen, aktualisieren, Zugriff auf den Browser Mode begrenzen. Mehr braucht es oft nicht. Aber genau diese Basics werden in Testumgebungen gern übersehen.