Veille sécuritéFrontend
P4Moyenne
Dans un server island, des données non fiables transmises à `useHeadSafe` peuvent perdre leur marqueur de sécurité lors de la sérialisation, puis être insérées comme une entrée ordinaire dans le head de la page. Si l’application transmet de telles données contrôlées par un attaquant, cela peut conduire à du XSS persistant ; mettez à niveau ou évitez cet usage dans les server islands et validez les entrées.
NuxtVue.js
IdentifiantCVE-2026-114133
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNuxt 4.6.2.
Source : NVD — CVE-2026-114133
Analyse technique
Le problème concerne le rendu des server islands ; l’usage de `useHeadSafe` dans des composants ou pages ordinaires n’est pas indiqué comme affecté par l’avis.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-21 à 18:17:26.260Z, soit 2026-10-21T20:17:26+02:00, dans la période. La page GitHub des avis consultée liste l’avis associé parmi ceux publiés le 2026-10-16 ; la date retenue est celle de publication NVD.
ImpactDu contenu exécutable peut être rendu dans l’origine de l’application, entraînant un XSS persistant.
Versions affectéesNuxt à partir de 3.13.0 et avant la version corrigée 4.6.2, selon les éléments fournis.
Version corrigéeNuxt 4.6.2.
ContournementDans l’attente de la mise à niveau, appeler `useHeadSafe` avec des données non fiables hors d’un server island ou les valider selon une liste d’autorisation.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4 · CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
Publication2026-10-21T20:17:26+02:00
Mise à jour2026-10-21T20:17:26+02:00
Action recommandée
Mettre à niveau vers Nuxt 4.6.2 ou ultérieur ; sinon, ne pas transmettre d’entrée non fiable à `useHeadSafe` depuis un server island sans validation.
Sources
Priorisation DFS : P4 · 1 source(s).