CVE-2026-119201 in Nuxt
要約
〜によって VulDB • 2026年10月29日
NuxtはVue.js用のオープンソースのWeb開発フレームワークです。バージョン4.6.0から4.6.3の間、nuxt devは生成されたappSecretをViteのserver.fs設定で許可されているディレクトリ内（デフォルトでは.nuxt/app-secret）に<buildDir>/app-secretとして保存します。露出している開発サーバーへの直接HTTPアクセスを持つクライアントは、このファイルをフェッチし、deriveSecret()を使用してデフォルトのuseSessionパスワードなどの派生シークレットを計算し、その開発サーバーによって受け入れられるセッションクッキーを偽造できます。デフォルトのlocalhostバインディングによりリモートからの曝露が制限され、クロスオリジンブラウザによる読み取りはブロックされます。また、明示的にappSecretが設定された本番ビルドおよび開発サーバーには影響がありません。この問題はバージョン4.6.3で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.