CVE-2026-120309 in Nuxt
Zusammenfassung
von VulDB • 02.11.2026
Nuxt ab der Version 4.6.0 bis vor 4.6.2 enthält eine Route-Parameter-Konfusions-Schwachstelle (Route Parameter Confusion) in den Funktionen getRouterParam und getRouterParams, die es Angreifern ermöglicht, einen anderen Parametwert zurückzugeben als der von h3 erfasste Wert, indem Pfade mit einem kodierten Fragezeichen (%3F) gesendet werden. Angreifer können Anfragen so gestalten, dass Autorisierungsprüfungen den Nuxt-Hilfsfunktion-Wert verwenden, während die Ressourcenauswahl event.context.params nutzt, was den Zugriff auf nicht autorisierte Ressourcen ermöglicht.
If you want to get best quality of vulnerability data, you may have to visit VulDB.