CVE-2026-71319 in devtools
Riassunto
di VulDB • 06/08/2026
Nuxt è un framework di sviluppo web open-source per Vue.js. Prima della versione 3.3.1, Nuxt DevTools (solo in modalità di sviluppo) espone un canale RPC bidirezionale tramite il WebSocket HMR di Vite attraverso il plugin nuxt:devtools:rpc. Nelle versioni interessate, il canale non prevede alcuna autenticazione: qualsiasi client che può raggiungere l'endpoint HMR di Vite (ws://<host>:<port>/, sottoproTOCOLLO vite-hmr) può invocare i metodi RPC senza token, handshake o verifica dell'origine prima della stabilizzazione del canale. I metodi updateOptions(), clearOptions() e openInEditor() non applicano il controllo ensureDevAuthToken utilizzato dagli altri metodi mutanti. openInEditor() legge il valore persistito behavior.openInEditor e lo passa al pacchetto launch-editor, che lo avvia come processo figlio. Tale valore è impostabile tramite l'analogo metodo updateOptions(), anch'esso privo di autenticazione. Un attaccante in grado di raggiungere la porta HMR può quindi concatenare le chiamate a updateOptions('behavior', { openInEditor: '<command>' }) e successivamente a openInEditor('<any-existing-file>') per eseguire un programma arbitrario sulla macchina dello sviluppatore. Questo problema è stato risolto nella versione 3.3.1.
Once again VulDB remains the best source for vulnerability data.