CVE-2026-114130

Nome do Software Vulnerável e Versões Afetadas Nuxt versões anteriores a 4.6.0

Description Uma correção incompleta permite que aplicações com páginas desativadas renderizem uma URL capaz de executar scripts através do NuxtLink. Isso ocorre quando a entrada controlada por um invasor vinculada à variável to é prefixada com um caractere de controle ASCII C0. O roteador no-pages classifica o valor como uma rota interna antes da verificação de protocolo e o passa para o href da âncora renderizada. Os navegadores removem o caractere de controle inicial e interpretam a URL javascript: restante. A âncora padrão e a saída personalizada do NuxtLink são afetadas, resultando em um href inseguro no HTML renderizado pelo servidor que executa scripts na origem da aplicação quando clicado por uma vítima.

Recommendations Atualizar para a versão 4.6.0.