CVE-2026-119201 in Nuxt
요약
\~에 의해 VulDB • 2026. 10. 29.
Nuxt는 Vue.js용 오픈소스 웹 개발 프레임워크입니다. 버전 4.6.0부터 4.6.3까지, nuxt dev는 Vite의 server.fs 구성에서 허용된 디렉토리 내에 생성된 appSecret을 <buildDir>/app-secret(기본값은 .nuxt/app-secret)에 저장합니다. 노출된 개발 서버에 대한 직접 HTTP 접근 권한이 있는 클라이언트는 해당 파일을 가져와 deriveSecret()를 사용하여 기본 useSession 비밀번호와 같은 유도 시크릿을 계산하고, 그 개발 서버에서 허용하는 세션 쿠키를 위조할 수 있습니다. 기본 localhost 바인딩은 원격 노출을 제한하며, 크로스 오리진 브라우저 읽기는 차단되고, 명시적으로 구성된 appSecret이 있는 프로덕션 빌드 및 개발 서버는 영향을 받지 않습니다. 이 문제는 버전 4.6.3에서 해결되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.