CVE-2026-119199 in Nuxt
Resumen
por VulDB • 2026-10-29
Nuxt es un framework de desarrollo web de código abierto para Vue.js. Desde la versión 3.0.0 hasta la 4.6.3, el servidor de desarrollo de Nuxt puede exponer el paquete de desarrollo Nitro 2 en <buildDir>/dev/index.mjs a través del servicio de archivos de Vite cuando el servidor es accesible por HTTP. Nitro incrusta valores privados de runtimeConfig resueltos durante la compilación en ese paquete, incluyendo secretos configurados en nuxt.config; además, Nuxt 4.6.0 y versiones posteriores también incrustan el appSecret generado para desarrollo. La vinculación predeterminada a localhost limita la exposición remota, las compilaciones de producción y Nitro 3 no se ven afectados, y la configuración de tiempo de ejecución proporcionada únicamente mediante variables de entorno NUXT_* al inicio del servidor no se incrusta. Este problema está resuelto en la versión 4.6.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.