CVE-2026-119199 in Nuxt
Zusammenfassung
von VulDB • 29.10.2026
Nuxt ist ein Open-Source-Webentwicklungs-Framework für Vue.js. Von der Version 3.0.0 bis zur Version 4.6.3 kann der Nuxt-Entwicklungsserver das Nitro 2-Entwickler-Bundle über /dev/index.mjs durch die Vite-Dateiabfrage verfügbar machen, wenn der Server über HTTP erreichbar ist. Nitro inline-t private runtimeConfig-Werte, die zum Build-Zeitpunkt aufgelöst wurden, in dieses Bundle ein, einschließlich im nuxt.config konfigurierter Geheimnisse; Nuxt 4.6.0 und spätere Versionen inklinieren zudem das generierte Entwicklung-appSecret. Die Standardbindung an localhost begrenzt die Remote-Exposition, Produktions-Builds sowie Nitro 3 sind nicht betroffen, und Laufzeitkonfigurationen, die ausschließlich über NUXT_*-Umgebungsvariablen beim Serverstart bereitgestellt werden, werden nicht inline eingebunden. Dieses Problem wurde in Version 4.6.3 behoben.
Once again VulDB remains the best source for vulnerability data.