- Son 7 gün
- CWE-436
- CWE-863
CVE-2026-114131
Nuxt, yol kuralları kodlanmış istek yolunu kullanıyor; yüzde kodlu segmentler appMiddleware korumasını atlatabiliyor
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Nuxt, Vue.js için geliştirilmiş açık kaynaklı bir web geliştirme çatısıdır. 3.11.0 ile 3.21.4 arasındaki sürümlerde ve 4.4.4 sürümünde, Nuxt yol kuralı anahtarlarını ham istek yoluyla karşılaştırırken, rota çözümlemesi dinamik ve catch-all parametrelerini çözümler. Bu uyuşmazlık, yüzde kodlu bir segmentin, korunan bir sayfaya, o yol için tanımlanan routeRules girdisiyle eşleşmeden çözümlenmesine izin vermektedir. Sonuç olarak, sunucu tarafı render sırasında appMiddleware atlanabilir ve kimlik doğrulaması yapılmamış bir istemci, korunan sayfayı ve SSR verilerini alabilir. Aynı uyuşmazlık, redirect, appLayout, ssr, prerender ve cache, isr ve swr değerlerinden türetilen payload bayraklarını içeren uygulama manifest kurallarını da etkilemektedir. Bu güvenlik açığı 4.4.4 ve 3.21.4 sürümlerinde giderilmiştir. CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N vektörü ile 6.5 (ORTA) puan almıştır. Zayıflık sınıfları: CWE-436, CWE-863.
Kaynaktaki açıklama (İngilizce)
Nuxt is an open-source web development framework for Vue.js. From 3.11.0 until 3.21.4 and 4.4.4, Nuxt compares route-rule keys with the raw request path while route resolution decodes dynamic and catch-all parameters, allowing a percent-encoded segment to resolve to a protected page without matching the routeRules entry intended for that path. As a result, appMiddleware can be skipped during server rendering and an unauthenticated requester can receive the gated page and its SSR data. The same mismatch affects app-manifest rules including redirect, appLayout, ssr, prerender, and payload flags derived from cache, isr, and swr. This vulnerability is fixed in 4.4.4 and 3.21.4.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| nuxt | Sürüm belirtilmemiş | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…t/nuxt/security/advisories/GHSA-6gq8-jgmh-3ffp Diğer
- github.com/…ommit/81f86ac5ee82bb1a9b887e59f3bc84624d711497 Diğer
- github.com/…ommit/9123ed850c468a7424a868c20d0d49a5507d32e5 Diğer
- github.com/nuxt/nuxt/releases/tag/v3.21.11 Diğer
- github.com/nuxt/nuxt/releases/tag/v4.5.2 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.