- Son 7 gün
- CWE-79
CVE-2026-114133
Nuxt sunucu adalarında useHeadSafe girdisi temizlenmeden işleniyor, depolanmış XSS riski
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Nuxt, Vue.js için açık kaynaklı bir web geliştirme framework'üdür. 3.13.0 sürümünden 4.6.2 sürümüne kadar olan sürümlerde, sunucu adası (server-island) işleyicisi ham useHeadSafe girdisini güvenli girdi işaretçisini koruyamadan adanın yanıtına serileştirir; NuxtIsland ise bu girdiyi daha sonra sayfa başlığına normal bir kayıt olarak ekler. Uygulama .server.vue bileşeninde veya sayfasında ya da NuxtIsland üzerinden işlenen bir bileşende saldırgan kontrolündeki veriyi useHeadSafe'e iletirse, izin listesi (allowlist) tarafından normalde kaldırılan değerler, olay işleyici öznitelikleri veya çalıştırılabilir betik içeriği dahil, işlenebilir ve bu da uygulama kökeninde depolanmış siteler arası betik çalıştırma (XSS) ile sonuçlanır. Sorun 4.6.2 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Nuxt is an open-source web development framework for Vue.js. From 3.13.0 until 4.6.2, the server-island renderer serializes raw useHeadSafe entry input into the island response without preserving the safe-input marker, and NuxtIsland later inserts that input into the page head as an ordinary entry. An application that passes attacker-controlled data to useHeadSafe in a .server.vue component or page, or in a component rendered through NuxtIsland, can therefore render values normally removed by the allowlist, including event-handler attributes or executable script content, resulting in stored cross-site scripting in the application origin. This issue is fixed in version 4.6.2 .
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| nuxt | Sürüm belirtilmemiş | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.