PT-2026-132823
CVE-2026-119201
·
تاريخ النشر
2026-10-29
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 3.1
4.8
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Nuxt الإصدارات من 4.6.0 إلى 4.6.2
الوصف
في وضع التطوير، يقوم إطار العمل بتخزين
appSecret مُنشأ في ملف <buildDir>/app-secret (افتراضياً .nuxt/app-secret)، والذي يقع ضمن دليل مسموح به بواسطة تكوين server.fs الخاص بـ Vite. يمكن للمهاجم الذي لديه وصول مباشر عبر HTTP إلى خادم تطوير مكشوف جلب هذا الملف واستخدام الدالة deriveSecret() لحساب أسرار مشتقة، مثل كلمة مرور useSession الافتراضية. يتيح ذلك للمهاجم تزوير ملفات تعريف ارتباط الجلسة (session cookies) التي يقبلها خادم التطوير.التوصيات
التحديث إلى الإصدار 4.6.3.
تكوين
appSecret بشكل صريح لخوادم التطوير لمنع استخدام السر المُنشأ. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾