PT-2024-25801 · Nuxt · Nuxt

Ry0Tak · Publicado 2024-08-05 · Atualizado 2026-03-12 · CVE-2024-34344

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.2

Crítica

Vetor base

AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Nuxt (versões afetadas não especificadas)

Descrição

O problema decorre da validação insuficiente do parâmetro path no NuxtTestComponentWrapper, permitindo que um invasor execute código JavaScript arbitrário no lado do servidor. Isso possibilita a execução de comandos arbitrários. Os usuários são afetados quando abrem uma página da web maliciosa no navegador enquanto executam o teste localmente, resultando na execução remota de código a partir da página da web maliciosa. Uma página da web maliciosa pode tentar explorar repetidamente essa vulnerabilidade, acionando a exploração quando o servidor de teste é iniciado.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

RCE

Code Injection

Enumeração de Fraquezas

CWE-94

CWE-706

Identificadores relacionados

CVE-2024-34344

GHSA-V784-FJJH-F8R4

Produtos afetados

Nuxt

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/34xxx/CVE-2024-34344.json · Exploit
• https://github.com/nuxt/nuxt · Nota
• https://github.com/nuxt/nuxt/security/advisories/GHSA-v784-fjjh-f8r4 · Nota
• https://github.com/nuxt/nuxt/blob/4779f5906fa4d3c784c2e2d6fe5a5c5f181faaec/packages/nuxt/src/app/components/test-component-wrapper.ts#L9-L27 · Nota
• https://github.com/nuxt/nuxt/blob/4779f5906fa4d3c784c2e2d6fe5a5c5f181faaec/packages/nuxt/src/app/components/test-component-wrapper.ts#L15-L19 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-34344 · Nota de Segurança
• https://t.me/cvedetector/2493 · Publicação no Telegram
• https://twitter.com/dailycve/status/2032171687299383482 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-v784-fjjh-f8r4 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-34344 · Aviso do Fabricante