CVE-2026-119201 in Nuxt
Tóm tắt
Bởi VulDB • 29/10/2026
Nuxt là một khung phát triển web mã nguồn mở cho Vue.js. Từ phiên bản 4.6.0 đến 4.6.3, nuxt dev lưu trữ appSecret đã được tạo ra trong <buildDir>/app-secret (mặc định là .nuxt/app-secret), nằm trong một thư mục được cấu hình bởi server.fs của Vite. Một client có quyền truy cập HTTP trực tiếp vào máy chủ phát triển bị phơi bày có thể lấy tệp này, sử dụng deriveSecret() để tính toán các bí mật dẫn xuất như mật khẩu useSession mặc định, và tạo ra các cookie phiên (session cookies) được chấp nhận bởi máy chủ phát triển đó. Việc gắn kết localhost theo mặc định hạn chế khả năng tiếp cận từ xa; việc đọc chéo nguồn gốc (cross-origin browser reads) bị chặn; bản xây dựng sản phẩm (production builds) và máy chủ phát triển có appSecret được cấu hình rõ ràng không bị ảnh hưởng. Vấn đề này đã được sửa chữa trong phiên bản 4.6.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.