CVE-2024-42352 in icon
Сводка
по VulDB • 31.07.2026
Nuxt — это бесплатный фреймворк с открытым исходным кодом для создания полнофункциональных веб-приложений и сайтов на базе Vue.js. Пакет `nuxt/icon` предоставляет API для поиска значков на стороне клиента (client-side). Этот конечная точка находится по адресу `/api/_nuxt_icon/[name]`. Проксируемый путь запроса неправильно парсится, что позволяет злоумышленнику изменить схему и хост запрашиваемого ресурса. Это приводит к уязвимости SSRF (Server-Side Request Forgery) и может потенциально привести к утечке конфиденциальных данных. Для разбора финального пути используется конструктор `new URL`. Этот конструктор принимает относительную схему или путь, что позволяет изменить хост, на который отправляется запрос. Данный конструктор также очень толерантен к некорректно отформатированным URL-адресам. В результате мы можем передать путь, префикс которого является строкой `http:`. Это приводит к изменению схемы на HTTP. Затем можно указать новый хост, например `http:127.0.0.1:8080`. Это позволит отправлять запросы на локальный сервер. Данная проблема была устранена в версии 1.4.5, и всем пользователям рекомендуется выполнить обновление. Известных обходных путей (workarounds) для данной уязвимости не существует.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.