CVE-2026-119201

Nome do Software Vulnerável e Versões Afetadas Nuxt versões 4.6.0 até 4.6.2

Descrição No modo de desenvolvimento, o framework armazena um appSecret gerado no arquivo <buildDir>/app-secret (por padrão .nuxt/app-secret), que está localizado em um diretório permitido pela configuração server.fs do Vite. Um invasor com acesso HTTP direto a um servidor de desenvolvimento exposto pode recuperar este arquivo e usar a função deriveSecret() para calcular segredos derivados, como a senha padrão do useSession. Isso permite que o invasor forje cookies de sessão que o servidor de desenvolvimento aceitará.

Recomendações Atualize para a versão 4.6.3. Configure explicitamente o appSecret para servidores de desenvolvimento para evitar o uso do segredo gerado.