CVE-2024-42352 in icon
要約
〜によって VulDB • 2026年06月08日
Nuxtは、Vue.jsを使用してフルスタックのWebアプリケーションやウェブサイトを作成するための無料かつオープンソースのフレームワークです。`nuxt/icon`は、クライアントサイドでのアイコン検索を可能にするAPIを提供します。このエンドポイントは`/api/_nuxt_icon/[name]`にあります。プロキシされたリクエストパスが不適切に解析されるため、攻撃者がリクエストのスキームとホストを変更できます。これによりSSRF（サーバーサイドリクエストフォージェリ）が発生し、機密データの漏洩につながる可能性があります。最終的なパスの解析には`new URL`コンストラクタが使用されます。このコンストラクタには、リクエスト送信先のホストを変更するために、相対的なスキームまたはパスを渡すことができます。また、このコンストラクタはフォーマットが正しくないURLに対しても非常に寛容です。その結果、文字列`http:`で始まるパスを渡すことができます。これにより、スキームがHTTPに変更されます。その後、`http:127.0.0.1:8080`のように新しいホストを渡すことができます。これにより、ローカルサーバーへのリクエスト送信が可能になります。この問題はリリースバージョン1.4.5で修正されており、すべてのユーザーはアップグレードすることをお勧めします。この脆弱性に対する既知の回避策はありません。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.