CVE-2025-24360

إصدارات Nuxt من 3.8.1 حتى 3.15.2

تنشأ المشكلة بسبب الإعدادات الافتراضية لـ CORS في Nuxt، والتي تسمح لأي موقع إلكتروني بإرسال طلبات إلى خادم التطوير وقراءة الرد. وقد يؤدي ذلك إلى سرقة شفرة المصدر من قبل المواقع الخبيثة، خاصةً بالنسبة للمستخدمين الذين يستخدمون الخيار الافتراضي server.cors مع مُنشئ Vite. ويمكن استغلال هذه الثغرة الأمنية حتى لو كان خادم التطوير متاحًا محليًّا فقط وغير معرض للشبكة. هناك ثلاثة أسباب رئيسية: إعدادات CORS الافتراضية المتساهلة، والافتقار إلى التحقق من صحة رأس Origin للاتصالات عبر WebSocket، والافتقار إلى التحقق من صحة رأس Host لطلبات HTTP. وقد يتيح ذلك للمهاجمين سرقة شفرة المصدر، والوصول إلى وظائف غير مخصصة للعرض، واستغلال بعض وظائف المكونات الإضافية.

بالنسبة لإصدارات Nuxt من 3.8.1 حتى 3.15.2، قم بالتحديث إلى الإصدار 3.15.3 أو أحدث لإصلاح الثغرة الأمنية.

إذا كنت تستخدم ميزة تكامل الخلفية (backend)، فأضف مصدر خادم الخلفية إلى الخيار server.cors.origin، مع التأكد من تعيين مصدر محدد بدلاً من ’*‘.

إذا كنت تستخدم وكيلًا عكسيًّا أمام Nuxt، فأضف اسم المضيف إلى الخيار الجديد server.allowedHosts.

إذا كنت تصل إلى خادم التطوير عبر نطاق مختلف عن localhost أو *.localhost، فأضف اسم المضيف إلى الخيار `server.allowedH