CVE-2026-71321

إصدارات Nuxt من 3.1.0 إلى 3.21.9

إصدارات Nuxt من 4.0.0 إلى 4.5.0

تقوم نقطة نهاية عارض island الداخلية / nuxt island/... بفك تشفير وتجزئة نص JSON الذي يتحكم فيه المهاجم باستخدام destr وohash قبل التحقق من صحة التجزئة الموجودة في عنوان URL. يتم قراءة طلب POST / nuxt island/ .json غير المصادق عليه والذي يحتوي على نص JSON كبير وتحليله وتجزئته بالكامل قبل رفضه. نظرًا لأن Nitro يعمل على حلقة أحداث واحدة، فإن هذه العملية تستهلك موارد مفرطة من وحدة المعالجة المركزية (CPU) وتؤخر الطلبات المتزامنة، مما يسمح لمعدل طلبات منخفض بتقليل أداء الخادم أو توقفه. لا يلزم وجود مصادقة أو تجزئة صالحة لإحداث هذا السلوك.

التحديث إلى الإصدار 3.21.10.

قم بالتحديث إلى الإصدار 4.5.1.

قم بتطبيق حد صغير لحجم نص الطلب لنقطة النهاية / nuxt island/ على مستوى الوكيل العكسي أو مستوى الحافة.

قم بتعطيل مكونات الخادم إذا لم تكن قيد الاستخدام.