PT-2026-48868 · Nuxt · @Nuxt/Rspack-Builder+1

Davidcarliez + 1 · Publicado 2026-06-12 · Atualizado 2026-06-16 · CVE-2026-49993

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.9

Média

Vetor base

AV:A/AC:H/AT:P/PR:N/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas @nuxt/rspack-builder versões 3.15.4 até 3.21.6 @nuxt/rspack-builder versões 4.0.0 até 4.4.6 @nuxt/webpack-builder versões 3.15.4 até 3.21.6 @nuxt/webpack-builder versões 4.0.0 até 4.4.6

Descrição Uma correção incompleta nos builders webpack e rspack permite que o código-fonte seja roubado durante o desenvolvimento. Isso ocorre se o servidor de desenvolvimento estiver vinculado a um endereço que não seja de loopback, como ao usar o comando nuxt dev --host, e o desenvolvedor acessar um site malicioso na mesma rede.

Recomendações Atualizar as versões 3.15.4 até 3.21.6 para a versão 3.21.7. Atualizar as versões 4.0.0 até 4.4.6 para a versão 4.4.7.

Exploit

Correção

Enumeração de Fraquezas

CWE-749

Identificadores relacionados

CVE-2026-49993

GHSA-X6QJ-4H56-5RJ5

Produtos afetados

@Nuxt/Rspack-Builder

@Nuxt/Webpack-Builder

Referências · 9

• 🔥 https://github.com/nuxt/nuxt/security/advisories/GHSA-6m52-m754-pw2g · Exploit
• 🔥 https://github.com/nuxt/nuxt/security/advisories/GHSA-x6qj-4h56-5rj5 · Exploit
• https://github.com/nuxt/nuxt/commit/e351de943e82db16970618b60dc7fdbaa58630f3 · Correção
• https://github.com/nuxt/nuxt/commit/77187ee4015e9267fb464951542a3e09e8b5fa05 · Correção
• https://github.com/nuxt/nuxt/pull/35200 · Nota
• https://github.com/nuxt/nuxt · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-49993 · Nota de Segurança
• https://twitter.com/CVEnew/status/2065461500584563007 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-x6qj-4h56-5rj5 · Aviso do Fabricante