GitHubの脆弱性情報データベースに、Nuxtの経路ルール回避やスクリプト実行につながる脆弱性4件が掲載されています。対象のWebアプリでは、利用版に加えて経路設定や入力値の扱いを確認する必要があります。勧告の公開日は資料では確認できません。
経路ルールの回避は2種類、版と設定を照合
CVE-2026-114132は、パスの大文字・小文字の違いでサーバー側の経路ルールを回避する問題です。転送ルールを避けてページやサーバー取得データが表示されるほか、経路別のセキュリティヘッダーやプロキシ処理も適用されなくなります。
対象版はNuxt 3の全リリースを含むnuxt 4.6.2未満と、@nuxt/nitro-server 4.6.2未満です。ただし、問題はリクエストパスとの一致に依存するサーバー側の経路ルールに限られます。nuxt.configでrouter.options.sensitive: trueを設定し、大小文字を区別するアプリは対象外です。この設定は回避策としても案内されています。
nuxt@4.6.2で修正されています。一方、Nuxt 3は2026年7月31日にサポートを終了しており、この問題の修正版は提供されません。
CVE-2026-114131は、文字を別の表現にするパーセント符号化で経路ルールを回避する問題です。動的経路や、幅広いパスを受けるキャッチオール経路では、認証処理を避けて未認証でページを取得できます。悪用に権限や利用者の操作は不要です。
通常の依存関係なら4.4.4以降と3.21.4以降は影響を受けません。ただし、依存するソフトウェアを指定より古い版に固定・上書きした場合、これらの版でも影響する可能性があります。比較処理自体はnuxt@4.5.2とnuxt@3.21.11で修正され、更新が推奨されています。
スクリプト実行の2件は、入力先が判断材料
CVE-2026-114133は、サーバー側で描画する部分であるサーバーアイランド内のuseHeadSafeに、攻撃者が制御するデータを渡すと発生する保存型XSSです。XSSは、ページ内で意図しないスクリプトが動く問題です。安全性の指定が失われ、本来除去されるスクリプトなどが出力されます。
影響する機能はnuxt 3.13.0で導入され、nuxt@4.6.2で修正されました。Nuxt 2や、通常のコンポーネント・ページで使うuseHeadSafeは対象外です。
CVE-2026-114130は、NuxtLink経由でスクリプト実行を招く問題です。対象版はNuxt 3の全リリースを含むnuxt 4.6.0未満です。悪用にはpagesの無効化、信頼できない値の:toへの設定、被害者によるリンクのクリックが必要です。vue-routerを使うアプリは対象外です。CVE-2026-53722の修正が不十分だった問題で、nuxt@4.6.0で修正されました。
日本での提供は発表には書かれていません。
影響する会社・しない会社
- 影響する: 対象版を使い、大小文字を区別しないルーティングでサーバー側の経路ルールを利用する会社は、大小文字差による回避の影響確認が必要です。
- 影響する: 対象版でサーバーアイランド内のuseHeadSafeに信頼できないデータを渡す会社や、pagesを無効にしてNuxtLinkの
:toに信頼できない値を設定する会社は、スクリプト実行の条件を確認する必要があります。
- 影響しない:
router.options.sensitive: trueを設定したアプリは、大小文字差による回避の対象外です。サーバーミドルウェアやdefinePageMetaで行うアクセス検査自体も影響を受けません。ただし、同じアプリのヘッダーやプロキシなどの経路ルールまで対象外になるわけではありません。
- 影響しない: パーセント符号化の問題では、ASCII文字だけの静的経路は対象外です。これだけで他の3件も対象外とは判断できません。
