CVE-2026-56301
Açıklama
4.4.7 öncesindeki Nuxt 4.0.0 ve 3.21.7 öncesindeki 3.18.0 sürümlerinde, geliştirme sunucusu (nuxt dev) Linux üzerinde çalıştırıldığında, vite-node IPC sunucusunu herhangi bir izin kısıtlaması olmaksızın soyut ad alanı (abstract-namespace) Unix soketine bağlar; bu durum yerel kullanıcıların listeleme yapmasına ve bağlanmasına olanak tanır. Ayrıcalıksız eş zamanlı kullanıcılar, korumasız modül istek işleyicisini istismar ederek SSR eklenti hattı üzerinden .env ve SSH anahtarları gibi rastgele dosyaları okuyabilirler. IPC sunucusu yalnızca geliştirmede çalıştığından, üretim yapılandırmaları etkilenmemektedir.
Nasıl düzeltilir
- nuxt nuxt3.21.7, 4.4.7 ya da sonraki bir sürüm
- nuxt4.4.7, 3.21.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nuxt nuxt | 3.18.0 ≤ v < 3.21.7, 4.0.0 ≤ v < 4.4.7 | 3.21.7, 4.4.7 |
| nuxtnpm | 4.0.0 ≤ v < 4.4.7, 3.18.0 ≤ v < 3.21.7 | 4.4.7, 3.21.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.