Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-522

CVE-2026-59158

Nuxt Ollama: Genel çalışma zamanı yapılandırması bulut API anahtarını ifşa ediyor

thoda-dev nuxt-ollama

Yüksek 7,5 CVSS 3.1
Yayımlandı
Güncellendi
28 Eki 2026
Açık yaşı
0 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, uygulamanızın bulut hizmeti erişim anahtarının herkesin görebileceği bir sayfada açıkta kalmasına yol açabilir. Anahtarı ele geçiren kişi masrafları sizin hesabınıza yükleyebilir ve verilerinize erişebilir. Bu nedenle güncellemenin hemen yapılması önerilir.

ÖzetTürkçe

Nuxt Ollama, resmi Ollama JavaScript kütüphanesini Nuxt uygulamalarına entegre eden bir modüldür. 1.3.1 öncesi sürümlerde modül, bulut API anahtarı dahil tüm modül seçeneklerini herhangi bir koşul olmadan genel çalışma zamanı yapılandırmasına (runtimeConfig.public.ollama) ekler. Nuxt bu yapılandırmayı sunucu tarafında üretilen HTML sayfasındaki window.__NUXT__ verisine yazdığı için anahtar, kimlik doğrulaması yapılmamış herhangi bir istemciye açık metin olarak görünür. Belgelenen bulut yapılandırmasını kullanan tüm Nuxt Ollama kurulumları etkilenir.

Saldırgan ne yapabilir?

Saldırgan, sayfayı görüntüleyerek elde ettiği API anahtarıyla operatörün hesabı üzerinden yetkisiz bulut API istekleri gönderebilir, kota veya hız sınırını tüketebilir ve anahtara yetki verilmişse saklanan modellere ve konuşmalara erişebilir.

Kaynaktaki açıklama (İngilizce)

Nuxt Ollama integrates the official Ollama JavaScript library into Nuxt applications. Prior to 1.3.1, src/module.ts unconditionally merges all module options, including a configured cloud api_key, into runtimeConfig.public.ollama. Nuxt serializes this public configuration into the server-rendered HTML window.__NUXT__ payload, exposing the API key in plaintext to any unauthenticated client that fetches a page. src/runtime/composables/useOllama.ts also reads the public key and sends it as an Authorization Bearer credential in browser-side Ollama requests. Following the documented cloud configuration is sufficient; the visible application template need not make an Ollama request for the secret to leak. A stolen key permits unauthorized cloud API requests at the operator's expense, quota or rate-limit exhaustion, and access to stored models or conversations if the key grants those permissions. This issue is fixed in version 1.3.1.

Ne yapmalı?

  1. Nuxt Ollama modülünü 1.3.1 veya daha yeni bir sürüme yükseltin. Üretici
  2. Açığa çıktığından şüphelenilen API anahtarını bulut sağlayıcınızın panelinden iptal edin veya yenileyin ve yeni anahtarı yalnızca sunucu tarafında kullanılacak şekilde yapılandırın. Genel öneri
  3. Yükseltmeden önce, sayfa kaynağında veya window.__NUXT__ verisinde anahtarın görünüp görünmediğini kontrol edin ve sağlayıcı tarafında alışılmadık kullanım, kota tüketimi veya hız sınırı hatalarını inceleyin. Genel öneri

Ek önlemler

  • Gizli anahtarları genel çalışma zamanı yapılandırmasına eklemeyin; yalnızca sunucu tarafında erişilebilen yapılandırmada tutun. Genel öneri
  • API sağlayıcınızda anahtar kullanım kotaları ve harcama uyarıları tanımlayarak anormal kullanımı erken fark edin. Genel öneri
  • Anahtara yalnızca gereken en düşük yetkileri verin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
thoda-dev nuxt-ollama < 1.3.1 1.3.1

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.