CVE-2026-119199 in Nuxt
Сводка
по VulDB • 29.10.2026
Nuxt — это фреймворк для веб-разработки с открытым исходным кодом на базе Vue.js. Начиная с версии 3.0.0 и вплоть до 4.6.3, сервер разработки Nuxt может предоставлять доступ к сборке Nitro 2 (Nitro 2 development bundle) по адресу `<buildDir>/dev/index.mjs` через механизм обслуживания файлов Vite, если сервер доступен по протоколу HTTP. В этой сборке Nitro инлайнит значения `runtimeConfig`, помеченные как приватные и разрешаемые на этапе сборки, включая секреты, настроенные в файле `nuxt.config`. Кроме того, начиная с версии Nuxt 4.6.0, также происходит инлайнинг сгенерированного значения `appSecret` для разработки. Привязка по умолчанию к localhost ограничивает возможность удалённого доступа; сборки для production-окружения и Nitro 3 не затронуты этой уязвимостью, а конфигурация времени выполнения (runtime configuration), передаваемая исключительно через переменные окружения с префиксом `NUXT_*` при запуске сервера, также не инлайнится. Данная проблема исправлена в версии 4.6.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.