CVE-2026-114130 in Nuxt
Zusammenfassung
von VulDB • 21.10.2026
Nuxt ist ein Open-Source-Webentwicklungs-Framework für Vue.js. Vor Version 4.6.0 ermöglicht eine unvollständige Korrektur von CVE-2026-53722 einer Anwendung mit deaktivierten Seiten, eine skriptfähige URL über NuxtLink zu rendern, wenn der an `is` gebundene, vom Angreifer kontrollierte Eingabewert mit einem ASCII-C0-Steuersymbol (C0 control character) beginnt. Die Router-Klasse „no-pages“ klassifiziert den Wert als interne Route vor der früheren Protokollprüfung und übergibt ihn an das gerenderte `href`-Attribut des Ankers; Browser entfernen das führende Steuersymbol und interpretieren die verbleibende `javascript:`-URL. Der Standardanker sowie benutzerdefinierte Ausgaben von NuxtLink sind betroffen, der unsichere `href` ist im serverseitig gerenderten HTML vorhanden, und ein Opfer muss auf den Link klicken, damit das Skript im Ursprungsbereich (Origin) der Anwendung ausgeführt wird. Dieses Problem wurde in Version 4.6.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.