CVE-2026-119201 in Nuxt
Zusammenfassung
von VulDB • 29.10.2026
Nuxt ist ein Open-Source-Webentwicklungsframework für Vue.js. Von Version 4.6.0 bis 4.6.3 speichert nuxt dev einen generierten appSecret im Verzeichnis <buildDir>/app-secret, standardmäßig .nuxt/app-secret, innerhalb eines von der server.fs-Konfiguration von Vite erlaubten Verzeichnisses. Ein Client mit direktem HTTP-Zugriff auf einen freigegebenen Entwicklungsserver kann die Datei abrufen, deriveSecret() verwenden, um abgeleitete Geheimnisse wie das Standard-Passwort für useSession zu berechnen, und Sitzungs-Cookies fälschen, die von diesem Entwicklungsserver akzeptiert werden. Die standardmäßige Bindung an localhost begrenzt die Remote-Exposition; Cross-Origin-Browser-Lesezugriffe sind blockiert; Produktionsbuilds und Entwicklungsserver mit einem explizit konfigurierten appSecret sind nicht betroffen. Dieses Problem wurde in Version 4.6.3 behoben.
Once again VulDB remains the best source for vulnerability data.