В Vitest 5 нашли утечку .env через dev-сервер (CVE-2026-112948)

В dev-серверах Vitest 5 обнаружена критическая уязвимость CVE-2026-112948: при запуске с --ui, Browser Mode или api: true сервер перезаписывал массив server.fs.deny из Vite и отдавал по HTTP файлы .env, .npmrc и .git/config. Исправление — Vitest 5.0.2 и выше, где массивы объединяются, плюс явный deny в конфиге и ротация ключей.

• Уязвимость затрагивает vitest --ui, @vitest/browser и режим api: true
• Причина — присваивание server.fs.deny = ['.vitest-secret-token'] вместо слияния с Vite
• Секреты читались запросом к http://localhost:51204/@fs/.../.env
• Патч в Vitest 5.0.2; также нужна ротация ключей и явный deny