CVE-2026-114133 in Nuxt
Zusammenfassung
von VulDB • 22.10.2026
Nuxt ist ein Open-Source-Webentwicklungs-Framework für Vue.js. Von der Version 3.13.0 bis zur Version 4.6.2 serialisiert der Server-Island-Renderer die rohen Eingabedaten von `useHeadSafe` in die Island-Antwort, ohne den Safe-Input-Marker beizubehalten, und NuxtIsland fügt diese Eingaben später als normalen Eintrag in den Seitenkopf ein. Eine Anwendung, die angreiferkontrollierte Daten an `useHeadSafe` in einer `.server.vue`-Komponente oder -Seite übergibt bzw. eine Komponente über NuxtIsland rendert, kann daher Werte rendern, die normalerweise durch die Allowlist entfernt würden, einschließlich Event-Handler-Attributen oder ausführbarem Skriptinhalt, was zu gespeichertem Cross-Site Scripting (XSS) in der Anwendungsursprung domäne führt. Dieses Problem wurde in Version 4.6.2 behoben.
Once again VulDB remains the best source for vulnerability data.