CVE-2026-114133

Nome do Software Vulnerável e Versões Afetadas Nuxt versões 3.13.0 até 4.6.1

Descrição O renderizador server-island serializa a entrada bruta do useHeadSafe na resposta da ilha sem preservar o marcador de entrada segura. Posteriormente, o NuxtIsland insere essa entrada no cabeçalho da página como uma entrada comum. Se uma aplicação passar dados controlados por um invasor para a função useHeadSafe() em um componente .server.vue, em uma página ou em um componente renderizado através do NuxtIsland, ela poderá renderizar valores que normalmente seriam removidos pela lista de permissões, como atributos de manipuladores de eventos ou conteúdo de script executável. Isso resulta em cross-site scripting (XSS) armazenado, onde scripts maliciosos são permanentemente armazenados no servidor e executados no navegador do usuário.

Recomendações Atualizar para a versão 4.6.2.