Confusion de paramètres de route dans Nuxt

Veille sécuritéFrontend

P4Moyenne

Nuxt présente une confusion de paramètres de route : lorsque le chemin contient un point d’interrogation encodé (« ), `getRouterParam` et `getRouterParams` peuvent renvoyer un paramètre différent de celui effectivement retenu par h3. Si une application utilise ces valeurs pour ses contrôles d’autorisation alors que la sélection de la ressource repose sur `event.context.params`, cela peut conduire à un accès non autorisé ; la version corrigée indiquée est Nuxt 4.6.2.

IdentifiantCVE-2026-120309

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif4.6.2

Source : NVD — CVE-2026-120309

Analyse technique

Les helpers de Nuxt peuvent interpréter le chemin brut différemment de h3 après décodage de « , et renvoyer une valeur de paramètre discordante.

Impact, versions et correctif

Événement datéLa publication NVD est horodatée 2026-11-02T03:17:28.217Z, soit 2026-11-02T05:17:28.217+02:00, dans la période demandée. La mise à jour NVD signalée à 19:34:23.993Z est également dans la période, mais n’est pas retenue comme événement distinct; le correctif Nuxt 4.6.2 était déjà publié le 2026-10-16.

ImpactPossibilité de contourner des contrôles d’autorisation et d’accéder à une ressource non autorisée dans les applications vulnérables.

Versions affectéesNuxt 4.6.0 à 4.6.1

Version corrigée4.6.2

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.3

Publication2026-11-02T05:17:28.217+02:00

Mise à jour2026-11-02T21:34:23.993+02:00

Action recommandée

Mettre à niveau vers Nuxt 4.6.2 ou une version ultérieure et vérifier que les contrôles d’autorisation et la sélection des ressources utilisent des paramètres cohérents.

Sources

NVD — CVE-2026-120309

Priorisation DFS : P4 · 1 source(s).