Veille sécuritéFrontend
P3Élevée
Nuxt Ollama expose la clé API configurée en la fusionnant dans `runtimeConfig.public.ollama`, que Nuxt sérialise dans le HTML rendu côté serveur. Toute personne pouvant charger une page peut alors récupérer la clé ; mettre à niveau vers 1.3.1 et renouveler toute clé potentiellement exposée.
JavaScriptNuxt
IdentifiantCVE-2026-59158
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif1.3.1
Source : NVD — CVE-2026-59158
Analyse technique
La clé apparaît en clair dans la charge utile `window.__NUXT__` et peut également être utilisée par le code navigateur comme jeton Bearer.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-27 à 23:17:06.570Z, soit le 2026-10-28 à 01:17:06.570+02:00, dans la période figée.
ImpactUne clé dérobée peut permettre des requêtes cloud non autorisées, une consommation de quota et, selon ses droits, l’accès à des données.
Versions affectéesVersions antérieures à 1.3.1.
Version corrigée1.3.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5 · CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
EPSS0,50% · percentile 42,9%
Publication2026-10-28T01:17:06.570+02:00
Mise à jour2026-10-29T21:17:24.343+02:00
Action recommandée
Mettre à niveau vers 1.3.1 et révoquer puis renouveler les clés API qui ont pu être exposées.
Sources
Priorisation DFS : P3 · 1 source(s).