Veille sécuritéFrontend
P4Moyenne
Le serveur de développement Nuxt peut exposer le bundle de développement Nitro contenant des valeurs privées de runtimeConfig intégrées à la compilation. Les versions Nuxt 3.0.0 à 4.6.2 sont concernées ; les builds de production et Nitro 3 ne le sont pas.
Vue.js
IdentifiantCVE-2026-119199
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif4.6.3
Source : NVD — CVE-2026-119199
Analyse technique
Le bundle accessible à /dev/index.mjs peut contenir des valeurs privées de runtimeConfig résolues à la compilation et, à partir de Nuxt 4.6.0, l’appSecret généré. Les valeurs fournies uniquement par variables NUXT_* au démarrage ne sont pas intégrées.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-29T21:17:18.797Z, dans la période demandée. Le correctif est indiqué en 4.6.3.
ImpactDivulgation de valeurs de configuration privées et de secrets inclus dans le bundle de développement.
Versions affectéesNuxt 3.0.0 à 4.6.2
Version corrigée4.6.3
ContournementNe pas exposer le serveur de développement ; éviter d’inscrire des secrets dans la configuration intégrée au bundle et utiliser, si possible, les variables NUXT_* au démarrage.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.9
Publication2026-10-29T21:17:18.797Z
Mise à jour2026-10-30T17:18:03.880Z
Action recommandée
Mettre à jour Nuxt vers la version 4.6.3 ou ultérieure et limiter l’accès au serveur de développement.
Sources
Priorisation DFS : P4 · 1 source(s).