Veille sécuritéFrontend
P4Faible
Dans Nuxt, lorsque les pages sont désactivées, une URL fournie à `NuxtLink` pouvait contourner une vérification de protocole si elle était précédée d’un caractère de contrôle ASCII C0. Le navigateur pouvait alors interpréter le lien comme une URL `javascript:` ; mettez à jour vers Nuxt 4.6.0.
JavaScriptNuxtVue.js
IdentifiantCVE-2026-114130
GravitéFaible
Exploitationnon connue / non déterminée
Correctif4.6.0
Source : NVD — CVE-2026-114130
Analyse technique
Le routeur sans pages classait la valeur comme route interne avant la vérification du protocole et la transmettait au `href` rendu côté serveur ; un clic de la victime est nécessaire pour exécuter le script.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-21, pendant la période demandée.
ImpactUn utilisateur qui cliquait sur le lien pouvait déclencher l’exécution de script dans l’origine de l’application.
Versions affectéesVersions antérieures à 4.6.0, lorsque les pages sont désactivées
Version corrigée4.6.0
ContournementSi la mise à niveau est impossible, rejeter les valeurs non fiables qui ne sont pas des chemins commençant par un seul `/`.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2.3
Publication2026-10-21T18:17:25.803Z
Mise à jour2026-10-21T18:17:25.803Z
Action recommandée
Mettre à jour Nuxt vers 4.6.0 et valider les URL contrôlées par l’utilisateur, en particulier lorsque les pages sont désactivées.
Sources
Priorisation DFS : P4 · 1 source(s).