CVE-2026-71319

Nome do Software Vulnerável e Versões Afetadas Nuxt versões anteriores a 3.3.1

Description O Nuxt DevTools, quando utilizado em modo de desenvolvimento, expõe um canal RPC (Remote Procedure Call) bidirecional através do WebSocket Vite HMR via o plugin nuxt:devtools:rpc. Este canal não possui autenticação, permitindo que qualquer cliente que consiga alcançar o endpoint Vite HMR ws://<host>:<port>/ (subprotocolo vite-hmr) chame métodos RPC sem token, handshake ou verificação de origem. Especificamente, os métodos updateOptions(), clearOptions() e openInEditor() não aplicam a verificação ensureDevAuthToken. Um invasor pode usar o updateOptions() para definir um comando malicioso no valor behavior.openInEditor e, em seguida, chamar o openInEditor() para executar esse programa arbitrário como um processo filho na máquina do desenvolvedor.

Recommendations Atualizar para a versão 3.3.1.