Veille sécuritéFrontend
P4Moyenne
Dans Nuxt 4.6.0 à 4.6.2, un chemin avec segments point encodés ou littéraux peut contourner des vérifications de middleware et des règles de route avant le rendu d’une page. Une page et ses données rendues côté serveur peuvent ainsi être accessibles sans les contrôles ou en-têtes prévus pour ce chemin.
Vue.js
IdentifiantCVE-2026-119200
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif4.6.3
Source : NVD — CVE-2026-119200
Analyse technique
Nuxt résout les segments point avant le rendu, alors que le routage Nitro et certaines vérifications évaluent le chemin non résolu. Les API handlers, appMiddleware, Nuxt 3 et Nuxt 4.0.0 à 4.5.x ne sont pas concernés.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-29T21:17:18.943Z, dans la période demandée. Le correctif est indiqué en 4.6.3.
ImpactDes vérifications de chemin, redirections ou en-têtes de sécurité peuvent ne pas s’appliquer à certaines pages rendues.
Versions affectéesNuxt 4.6.0 à 4.6.2
Version corrigée4.6.3
ContournementAppliquer la mise à jour ; vérifier les contrôles d’accès et en-têtes de sécurité des pages sensibles.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
Publication2026-10-29T21:17:18.943Z
Mise à jour2026-10-30T17:18:03.880Z
Action recommandée
Mettre à jour Nuxt vers la version 4.6.3 ou ultérieure et contrôler les protections des pages sensibles.
Sources
Priorisation DFS : P4 · 1 source(s).