Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Vitest 是由 Vite 提供支持的测试框架。从 4.1.11 until 和 5.0.0-rc.2 起2.1.0，packages/mocker/src/node/interceptorPlugin.ts 中的公共 mockerPlugin 和独立式 interceptorPlugin 导出在 Vite 未经身份验证的 HMR WebSocket 上注册 vitest：interceptor：register 处理程序，而未针对 file-serving 允许列表验证重定向目标。该实现通过 isFileLoadingAllowed 在不强制执行 server.fs.allow 和 server.fs.deny 的情况下处理 event.redirect。可访问暴露的开发服务器的远程客户端可提交不透明的 URL 方案，从而保留 ..
    段，从而造成 join（server.config.root， redirectUrl.pathname） 在项目根外部解析。然后，插件的加载挂钩会返回 readFile（mock.redirect， 'utf-8'） 作为模块源，进而泄露开发服务器进程可读取的本地文件。Vitest 浏览器模式使用令牌认证的 RPC，默认情况下并非远程取消认证，尽管该路径上缺少相同的边界检查。此问题已在版本 4.1.11 和 5.0.0-rc.2 中修复。（CVE-2026-84373）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Vitest 是由 Vite 提供支援的測試框架。從 until 和 5.0.0-rc.2 開始2.1.04.1.11，在 packages/mocker/src/node/interceptorPlugin.ts 中匯出的公共 mockerPlugin 和獨立 interceptorPlugin 在 Vite 未經身份驗證的 HMR WebSocket 上註冊 vitest：interceptor：register 處理常式，而無需根據檔案服務允許清單驗證重新導向目標。實作會處理 event.redirect，而不透過 isFileLoadingAllowed 強制執行 server.fs.allow 和 server.fs.deny。可連線至公開開發伺服器的遠端用戶端可以提交不透明的 URL 配置，保留 ..
    區段，導致 join（server.config.root， redirectUrl.pathname） 在專案根目錄外部解析。然後，外掛程式的載入勾點會傳回 readFile（mock.redirect， 'utf-8'） 作為模組來源，揭露開發伺服器進程可讀取的本機檔案。Vitest 瀏覽器模式使用權杖驗證的 RPC，預設情況下不會遠端取消驗證，儘管該路徑上缺少相同的邊界檢查。此問題已在 5.0.0-rc.2 版 4.1.11 中修正。（CVE-2026-84373）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Vitest は、Vite で稼働するテストフレームワークです。2.1.0から 4.1.11 および 5.0.0-rc.2 まで、packages/mocker/src/node/interceptorPlugin.ts のパブリック mockerPlugin およびスタンドアロン interceptorPlugin エクスポートは、ファイル提供の許可リストに対してリダイレクトターゲットを検証せずに、Vite の認証されていない HMR WebSocket に vitest:interceptor:register ハンドラーを登録します。この実装では、isFileLoadingAllowedを介してserver.fs.allowとserver.fs.denyを強制せずにevent.redirectを処理します。露出された開発サーバーに到達できるリモートクライアントが、..
    これにより、join(server.config.root, redirectUrl.pathname) がプロジェクト root の外部で解決されます。次に、プラグインのロードフックがモジュールソースとして readFile(mock.redirect, 'utf-8') を返し、dev-server プロセスが読み取れるローカルファイルを漏洩します。Vitest ブラウザモードは、トークン認証済み RPC を使用しており、リモートからデフォルトで認証解除されていません。ただし、同じ境界検査がパスで欠如していました。この問題は、バージョン 4.1.11 および 5.0.0-rc.2 で修正されています。(CVE-2026-84373)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Vitest is a testing framework powered by Vite. From 2.1.0 until 4.1.11 and 5.0.0-rc.2, the public     mockerPlugin and standalone interceptorPlugin exports in packages/mocker/src/node/interceptorPlugin.ts     register the vitest:interceptor:register handler on Vite's unauthenticated HMR WebSocket without     validating redirect targets against the file-serving allowlist. The implementation processes     event.redirect without enforcing server.fs.allow and server.fs.deny through isFileLoadingAllowed. A remote     client that can reach an exposed development server can submit an opaque URL scheme preserving ..
    segments, causing join(server.config.root, redirectUrl.pathname) to resolve outside the project root. The     plugin's load hook then returns readFile(mock.redirect, 'utf-8') as module source, disclosing local files     readable by the dev-server process. Vitest browser mode uses a token-authenticated RPC and is not remotely     unauthenticated by default, although the same boundary check was missing on that path. This issue is fixed     in versions 4.1.11 and 5.0.0-rc.2. (CVE-2026-84373)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名稱	產品	系列	已發布	已更新	嚴重性
342338	Linux Distros 未修补的漏洞：CVE-2026-84373	Nessus	Misc.	2026/9/2	2026/9/3	medium
342338	Linux Distros 未修補弱點：CVE-2026-84373	Nessus	Misc.	2026/9/2	2026/9/3	medium
342338	Linux Distros のパッチ未適用の脆弱性: CVE-2026-84373	Nessus	Misc.	2026/9/2	2026/9/3	medium
342338	Linux Distros Unpatched Vulnerability : CVE-2026-84373	Nessus	Misc.	2026/9/2	2026/9/3	medium

偵測

搜尋 Plugin

medium

medium

medium

medium