CVE-2026-119201 in Nuxt
Résumé
par VulDB • 29/10/2026
Nuxt est un framework de développement web open-source pour Vue.js. De la version 4.6.0 à la 4.6.3, nuxt dev stocke une appSecret générée dans <buildDir>/app-secret, par défaut .nuxt/app-secret, au sein d'un répertoire autorisé par la configuration server.fs de Vite. Un client disposant d'un accès HTTP direct à un serveur de développement exposé peut récupérer le fichier, utiliser deriveSecret() pour calculer des secrets dérivés tels que le mot de passe par défaut useSession, et forger des cookies de session acceptés par ce serveur de développement. La liaison localhost par limite l'exposition distante, les lectures cross-origin depuis le navigateur sont bloquées, les builds en production et les serveurs de développement avec une appSecret explicitement configurée ne sont pas affectés. Ce problème est corrigé dans la version 4.6.3.
Once again VulDB remains the best source for vulnerability data.