Nuxt : exposition de l’appSecret du serveur de développement

Veille sécuritéFrontend

P4Moyenne

Le serveur de développement Nuxt peut exposer son appSecret généré, permettant à un client qui atteint ce serveur de dériver des secrets et de fabriquer des cookies de session acceptés par ce serveur. Sont concernés Nuxt 4.6.0 à 4.6.2 ; les builds de production et les serveurs configurés avec un appSecret explicite ne sont pas concernés.

IdentifiantCVE-2026-119201

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif4.6.3

Source : NVD — CVE-2026-119201

Analyse technique

Le secret est stocké par défaut dans .nuxt/app-secret, sous un répertoire autorisé par la configuration server.fs de Vite ; son exposition peut permettre de forger des cookies de session du serveur de développement.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée le 2026-10-29T21:17:19.077Z, dans la période demandée. Le correctif est indiqué en 4.6.3.

ImpactPossibilité de dériver des secrets et de falsifier des cookies de session sur le serveur de développement exposé.

Versions affectéesNuxt 4.6.0 à 4.6.2

Version corrigée4.6.3

ContournementNe pas exposer le serveur de développement et configurer explicitement appSecret ; appliquer la mise à jour.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS4.8

Publication2026-10-29T21:17:19.077Z

Mise à jour2026-10-30T17:18:03.880Z

Action recommandée

Mettre à jour Nuxt vers la version 4.6.3 ou ultérieure, configurer explicitement appSecret et limiter l’accès au serveur de développement.

Sources

NVD — CVE-2026-119201

Priorisation DFS : P4 · 1 source(s).