Nuxt UI : risque de fuite d’identifiants des formulaires avant hydratation

Veille sécuritéFrontend

P4Moyenne

Avant Nuxt UI 4.8.1, le HTML rendu côté serveur par UForm omet les attributs method et action ; si un formulaire d’authentification est soumis avant l’hydratation Vue, le navigateur peut envoyer les champs nommés, y compris le mot de passe, dans l’URL. Cela peut exposer les identifiants dans l’historique, les journaux intermédiaires ou des en-têtes Referer ; mettre à jour vers 4.8.1 ou une version ultérieure.

IdentifiantCVE-2026-123808

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif4.8.1

Source : NVD — CVE-2026-123808

Analyse technique

Le formulaire SSR s’appuie uniquement sur @submit.prevent, qui n’agit qu’après hydratation. Le CVSS 5.3 décrit une exploitation nécessitant une interaction utilisateur et une complexité élevée.

Impact, versions et correctif

Événement datéLa fiche NVD fournie indique une publication le 2026-11-09T22:18:36.823Z, soit le 2026-11-10T00:18:36.823+02:00, dans la période retenue. L’avis OSV consulté signale aussi une modification le 2026-11-10T10:46:44Z, également dans la période.

ImpactFuite potentielle d’identifiants lorsque le formulaire est soumis avant l’hydratation ou sans chargement du bundle client.

Versions affectéesNuxt UI < 4.8.1

Version corrigée4.8.1

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.3 · CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N

EPSS0,25% · percentile 15,9%

Publication2026-11-10T00:18:36.823+02:00

Mise à jour2026-11-10T12:46:44+02:00

Action recommandée

Mettre Nuxt UI à jour vers 4.8.1 ou une version ultérieure et vérifier les journaux et systèmes intermédiaires si des formulaires concernés étaient exposés.

Sources

NVD — CVE-2026-123808

Priorisation DFS : P4 · 1 source(s).