CVE-2026-59158

Nome do Software Vulnerável e Versões Afetadas nuxt-ollama versões anteriores a 1.3.1

Description Uma falha de design em src/module.ts faz com que o módulo mescle incondicionalmente todas as opções, incluindo a api key, na configuração de tempo de execução pública runtimeConfig.public.ollama. Como o Nuxt serializa esta configuração pública no payload HTML renderizado pelo servidor window. NUXT , a chave de API é exposta em texto simples para qualquer cliente não autenticado que acesse a página. Além disso, o composable do lado do navegador src/runtime/composables/useOllama.ts lê esta chave pública e a inclui como uma credencial Authorization Bearer em requisições do lado do cliente. Um invasor pode roubar esta chave com uma única requisição HTTP GET, podendo levar ao uso não autorizado da API na nuvem às custas do operador, exaustão de cotas ou acesso a modelos e conversas armazenadas.

Recommendations Atualize para a versão 1.3.1. Como mitigação temporária, evite configurar a api key nas opções públicas do módulo até que a atualização seja aplicada.