はじめに：Vitest UIサーバーの深刻な脆弱性

フロントエンド開発において、テストは品質保証に不可欠なプロセスです。特にVitestは、その高速性と優れた開発者体験から、多くのプロジェクトで採用されています。しかし、このたびVitest UIサーバーに重大な脆弱性（GHSA-5xrq-8626-4rwp / CVE-2026-47429）が発見されました。この脆弱性は、設定によっては情報漏洩やシステム乗っ取りに繋がりかねないため、Vitestをご利用の皆さんは、本記事を読み、直ちに対策を講じることを強く推奨します。

脆弱性の詳細：Vitest UIサーバーのパス・トラバーサルとRCEの危険性

この脆弱性は、Vitest UIサーバーが提供する特定のAPIエンドポイント（例: `/__vitest_attachment__`）において、ファイルアクセス許可をチェックする `isFileServingAllowed` 関数の実装に不備があったことに起因します。特にWindows環境では、`\\?\..\\` のような特殊なパスセグメントを巧みに利用することで、Vitestプロジェクトのディレクトリ外にある任意のファイルを読み取ることが可能になります。

このファイル読み取りの危険性だけでも深刻ですが、さらに重大なのは、VitestのAPIが元々持つファイルの書き込みや再実行といった機能と組み合わさる点です。Vitest UIサーバーが外部に公開されている場合、攻撃者はこの脆弱性を悪用してターゲットシステム上で任意のスクリプトを実行できてしまう可能性があります（RCE: Remote Code Execution）。Browser Modeが有効な場合は、さらに広範なファイルの読み書き操作が可能となり、被害が拡大する恐れがあります。深刻度は `critical` に分類されており、極めて高いリスクを伴います。

あなたは影響を受けますか？確認すべき条件

以下のいずれかの条件に該当する場合、あなたの環境はこの脆弱性の影響を受ける可能性があります。すぐに確認してください。

<ul><li>`--api.host` または `api.host` 設定オプションを使用して、Vitest UIサーバーを意図的にネットワークに公開している場合。例えば、`0.0.0.0` や特定のIPアドレスにバインドしているケースです。</li><li>Windows環境でVitest UIまたはBrowser Modeを実行している場合。この環境では、前述の特殊なパスを用いた攻撃が特に成功しやすいとされています。</li></ul>

これら2つの条件のうち、少なくともどちらか片方にでも当てはまる場合は、この脆弱性のリスクに晒されていると考えられます。

今すぐ取るべき対策

この脆弱性に対する最も効果的な対策は、Vitestを最新バージョンにアップデートすることです。脆弱性が修正されたバージョンでは、以下の新しいセキュリティ設定が導入されています。

<h4>新しい設定フラグ `allowWrite` と `allowExec`：</h4>

<ul><li>Vitestのアップデートにより、`allowWrite` と `allowExec` という2つの新しい設定フラグが追加されました。</li><li>これらのフラグは、APIサーバーが `localhost` 以外（例えば、ネットワーク上の任意のIPアドレス）にバインドされている場合、<strong>デフォルトで無効化</strong>されます。これにより、Vitest UIサーバーをネットワークに公開しても、リモートクライアントが暗黙的にファイル書き込みや任意のコード実行を行うことはできなくなります。</li><li>フラグが無効化されている場合、Vitest UIは読み取り専用モードとなり、ブラウザ内でのコード編集やテストの再実行といったインタラクティブな機能の多くが制限されます。Browser Modeの機能も同様に制限されます。</li></ul>

<h4>注意点:</h4> ネットワーク経由でこれらのインタラクティブな機能（ファイルの書き込み、コード実行など）をどうしても使用する必要がある場合は、明示的に `allowWrite` や `allowExec` を `true` に設定する必要があります。しかし、その際はセキュリティリスクを十分に理解し、信頼できるネットワーク環境下でのみ、細心の注意を払って使用してください。開発環境や社内ネットワークであっても、安易に有効化することは推奨されません。

したがって、最優先事項として、Vitestを最新バージョンにアップデートし、これらの新しいセキュリティ設定が意図通りに機能しているか、特に `allowWrite` と `allowExec` のデフォルト設定（`localhost` 以外の場合は `false`）を確認することが強く推奨されます。

まとめと今後のセキュリティ意識

今回のVitest UIサーバーの脆弱性は、開発ツールやテストインフラもセキュリティ攻撃の対象となり得ることを改めて示しています。特にネットワークに公開される可能性があるツールについては、常に最新の状態を保ち、その設定に十分な注意を払う必要があります。

フロントエンドエンジニアの皆さんにとって、Vitestは日々の開発に欠かせないツールです。しかし、その利便性と引き換えにセキュリティリスクを見過ごしてはなりません。定期的なパッケージのアップデートと、開発環境のセキュリティ設定の見直しを習慣化し、安心安全な開発環境を保ちましょう。