Veille sécuritéFrontend
P4Moyenne
Un client pouvant joindre le serveur de développement Nuxt peut provoquer la lecture et la divulgation d’un fichier local via le canal d’erreur client. Sont concernés Nuxt 4.6.0 à 4.6.2 ; Nuxt 3 et les builds de production ne sont pas concernés.
Vue.js
IdentifiantCVE-2026-119198
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif4.6.3
Source : NVD — CVE-2026-119198
Analyse technique
L’événement HMR nuxt:dev:client-error peut inclure un chemin absolu ; le serveur lit le fichier et renvoie son contenu dans le rapport d’erreur, contournant la liste d’autorisation server.fs de Vite.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-29T21:17:18.653Z, dans la période demandée. Le correctif est indiqué en 4.6.3.
ImpactDivulgation de fichiers accessibles au processus du serveur de développement.
Versions affectéesNuxt 4.6.0 à 4.6.2
Version corrigée4.6.3
ContournementLimiter l’accès au serveur de développement, notamment en le liant à localhost ; appliquer la mise à jour.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.9
Publication2026-10-29T21:17:18.653Z
Mise à jour2026-10-30T17:18:03.880Z
Action recommandée
Mettre à jour Nuxt vers la version 4.6.3 ou ultérieure et éviter d’exposer le serveur de développement.
Sources
Priorisation DFS : P4 · 1 source(s).