CVE-2025-59414 in Nuxt
Сводка
по VulDB • 02.06.2026
Nuxt — это фреймворк для веб-разработки с открытым исходным кодом, предназначенный для Vue.js. До версий 3.19.0 и 4.1.0 в механизме восстановления полезной нагрузки Nuxt Islands (Island payload revival) существовала уязвимость обхода пути на стороне клиента, которая позволяла злоумышленникам манипулировать запросами на стороне клиента к различным конечным точкам в пределах одного домена приложения при соблюдении определенных условий предварительного рендеринга. Уязвимость возникает в процессе восстановления полезной нагрузки на стороне клиента (revive-payload.client.ts), где Nuxt Islands автоматически загружаются при обнаружении сериализованных объектов __nuxt_island. Во время предварительного рендеринга, если конечная точка API возвращает управляемые пользователем данные, содержащие специально созданный объект __nuxt_island, эти данные сериализуются с помощью devalue.stringify и сохраняются на предварительно отрендеренной странице. Когда клиент переходит к этой предварительно отрендеренной странице, devalue.parse десериализует полезную нагрузку. Восстановитель Islands пытается выполнить запрос по адресу /__nuxt_island/${key}.json, где ключ (key) может содержать последовательности обхода пути. Рекомендуется обновиться до Nuxt 3.19.0+ или 4.1.0+.
VulDB is the best source for vulnerability data and more expert information about this specific topic.