CVE-2026-53721

Nome do Software Vulnerável e Versões Afetadas Nuxt versões 3.11.0 até 3.21.6 Nuxt versões 4.0.0 até 4.4.6

Description Existe uma falha de bypass de middleware de regra de rota devido a uma incompatibilidade de sensibilidade a maiúsculas e minúsculas entre o vue-router e o correspondente routeRules. Enquanto o vue-router corresponde a caminhos sem distinguir maiúsculas de minúsculas por padrão, o correspondente routeRules realiza a correspondência com distinção de maiúsculas e minúsculas. Essa discrepância permite que um invasor ignore o appMiddleware declarado via routeRules alterando a caixa de segmentos estáticos em uma URL protegida (por exemplo, usando /Admin/dashboard em vez de /admin/dashboard). Consequentemente, a página protegida pode ser renderizada sem a execução do middleware, tanto na renderização do lado do servidor (SSR) quanto em navegações do cliente. Este problema também afeta outras regras de rota baseadas em caminho, como ssr, redirect, appLayout e dicas de pré-renderização ou payload.

Recommendations Atualize o Nuxt para a versão 3.21.7. Atualize o Nuxt para a versão 4.4.7. Configure router.options.sensitive = true para habilitar a correspondência com distinção de maiúsculas e minúsculas no vue-router. Mova o middleware crítico de segurança de routeRules.appMiddleware para definePageMeta({ middleware: [...] }) nos componentes de página protegidos. Aplique a autorização na camada de API ou de busca de dados.