CVE-2026-59158

Nuxt Ollama, resmi Ollama JavaScript kütüphanesini Nuxt uygulamelerine entegre eder. 1.3.1 sürümünden önce, `src/module.ts` yapılandırılmış bir bulut `api_key` dahil olmak üzere tüm modül seçeneklerini koşulsuz olarak `runtimeConfig.public.ollama` ile birleştirir. Nuxt, bu genel yapılandırmayı sunucu tarafından oluşturulan HTML `window.__NUXT__` yüküne serileştirerek API anahtarını, sayfayı getiren herhangi bir kimliği doğrulanmamış istemciye açık metin olarak ifşa eder. `src/runtime/composables/useOllama.ts` ayrıca genel anahtarı okur ve bunu tarayıcı tarafındaki Ollama isteklerinde bir `Authorization` `Bearer` kimlik bilgisi olarak gönderir. Belgelenmiş bulut yapılandırmasının takip edilmesi yeterlidir; sırrın sızması için görünür uygulama şablonunun bir Ollama isteği yapmasına gerek yoktur. Çalınan bir anahtar, operatörün masrafıyla yetkisiz bulut API isteklerine, kota veya hız sınırı tüketimine ve eğer anahtar bu izinleri sağlıyorsa saklanan modellere veya konuşmalara erişime izin verir. Bu sorun 1.3.1 sürümünde düzeltilmiştir.