Vercel News
·
CVE-2025-52662：Nuxt DevTools 中的 XSS 漏洞
💡
原文英文，约200词，阅读约需1分钟。
📝
内容提要
Nuxt DevTools 2.6.4 修复了中等严重的安全漏洞，可能导致 XSS 攻击提取认证令牌和远程代码执行。建议用户及时升级。
🎯
关键要点
- Nuxt DevTools 2.6.4 修复了中等严重的安全漏洞。
- 该漏洞可能导致通过 XSS 提取认证令牌和远程代码执行。
- 建议用户及时升级到最新版本。
- 漏洞链允许在开发环境中通过 XSS、认证令牌外泄和路径遍历实现远程代码执行。
- 漏洞存在于 DevTools 认证页面，错误信息未经过适当清理，导致 DOM 基于 XSS。
- 攻击者可以利用此漏洞窃取认证令牌，并通过 WebSocket 消息处理程序的路径遍历漏洞写入任意文件。
- XSS 问题通过在 Nuxt DevTools 2.6.4 中将错误显示为 textContent 而非 innerHTML 解决。
- 建议避免公开暴露 Nuxt DevTools 或在生产环境中使用开发模式运行 Nuxt。
- 感谢 @yuske 进行负责任的漏洞披露。
❓
延伸问答
CVE-2025-52662 漏洞的严重性如何？
该漏洞被评估为中等严重性。
Nuxt DevTools 2.6.4 修复了什么问题？
修复了可能导致 XSS 攻击和认证令牌提取的安全漏洞。
如何避免 Nuxt DevTools 的安全漏洞？
建议避免公开暴露 Nuxt DevTools，并在生产环境中不要使用开发模式。
攻击者如何利用这个漏洞？
攻击者可以通过 XSS 窃取认证令牌，并利用路径遍历漏洞写入任意文件，导致远程代码执行。
Nuxt DevTools 2.6.4 是如何解决 XSS 问题的？
通过将错误信息显示为 textContent 而非 innerHTML 来解决 XSS 问题。
感谢谁对漏洞进行了负责任的披露？
感谢 @yuske 进行负责任的漏洞披露。
➡️
