- Yama var
- Son 7 gün
- CWE-79
CVE-2026-114130
Nuxt'ta NuxtLink bileşeninde javascript: URL'si ile betik çalıştırma açığı
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Nuxt, Vue.js için açık kaynaklı bir web geliştirme çatısıdır. 4.6.0 sürümünden önce, CVE-2026-53722 için yapılan eksik bir düzeltme, sayfalar (pages) devre dışı bırakılmış bir uygulamada, to parametresine bağlanan saldırgan kontrollü girdinin ASCII C0 kontrol karakteriyle önek almasıyla, NuxtLink üzerinden betik çalıştırabilen bir URL'nin işlenmesine izin veriyor. Sayfasız yönlendirici değeri, önceki protokol denetiminden önce dahili bir rota olarak sınıflandırıp işlenen bağlantının href özniteliğine aktarıyor; tarayıcılar baştaki kontrol karakterini kaldırıp kalan javascript: URL'sini yorumluyor. Varsayılan bağlantı ve NuxtLink özel çıktısı etkilenmektedir; güvensiz href sunucu tarafında oluşturulan HTML içinde bulunur ve betiğin uygulamanın kaynağında çalışması için kurbanın bağlantıya tıklaması gerekir. Bu sorun 4.6.0 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Nuxt is an open-source web development framework for Vue.js. Prior to 4.6.0, an incomplete fix for CVE-2026-53722 allows an application with pages disabled to render a script-capable URL through NuxtLink when attacker-controlled input bound to to is prefixed with an ASCII C0 control character. The no-pages router classifies the value as an internal route before the earlier protocol check and passes it to the rendered anchor href; browsers remove the leading control character and interpret the remaining javascript: URL. The default anchor and NuxtLink custom output are affected, the unsafe href is present in server-rendered HTML, and a victim must click the link for script to execute in the application's origin. This issue is fixed in version 4.6.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| nuxt | < 4.6.0 | 4.6.0 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…t/nuxt/security/advisories/GHSA-jjm6-p2m9-9w4x Diğer
- github.com/nuxt/nuxt/pull/36459 Diğer
- github.com/…ommit/355ed9565127ff9b1453deb7160059ed55b3cb85 Diğer
- github.com/…ommit/df46569d5d3c7a7799de54c328634168fbae70bb Diğer
- github.com/nuxt/nuxt/releases/tag/v4.6.0 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.