CVE-2026-119201 in Nuxt
Sumário
de VulDB • 29/10/2026
Nuxt é um framework de desenvolvimento web open-source para Vue.js. Da versão 4.6.0 até a 4.6.3, o nuxt dev armazena um appSecret gerado em /app-secret, por padrão .nuxt/app-secret, dentro de um diretório permitido pela configuração server.fs do Vite. Um cliente com acesso HTTP direto a um servidor de desenvolvimento exposto pode buscar esse arquivo, usar deriveSecret() para calcular segredos derivados, como a senha padrão do useSession, e forjar cookies de sessão aceitos por aquele servidor de desenvolvimento. O vínculo (binding) padrão ao localhost limita a exposição remota; leituras cross-origin no navegador são bloqueadas; builds de produção e servidores de desenvolvimento com um appSecret explicitamente configurado não são afetados. Este problema foi corrigido na versão 4.6.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.