JVNDB-2026-019918

Nuxtのnuxt/nitro-server等の複数製品における複数の脆弱性

NuxtはVue.jsのためのオープンソースのウェブ開発フレームワークです。Nuxtのバージョン3.11.0から3.21.6未満、および4.0.0-alpha.1から4.4.6未満、さらに@nuxt/nitro-serverのバージョン3.20.0から3.21.6未満、4.0.0-alpha.1から4.4.6未満において、experimental.componentIslandsが有効になっている場合（Nuxt 4ではデフォルト）、pages/以下の任意の.server.vueファイルが自動的にサーバーアイランドとしてキーpage_routeNameで登録され、/__nuxt_island/:nameエンドポイント経由で公開されます。この修正が適用される前は、そのエンドポイントを通じたリクエストがSSRレンダラーによってページコンポーネントを直接レンダリングしており、Vue Routerがインスタンス化されなかったため、ページに宣言されたルートミドルウェア（definePageMeta({middleware})を含む）が実行されていませんでした。この問題はバージョン3.21.6および4.4.6で修正されました。

Nuxt

• Nuxt 3.11.0 以上 3.21.6 未満
• Nuxt 4.0.0 以上 4.4.6 未満
• nuxt/nitro-server 3.20.0 以上 3.21.6 未満
• nuxt/nitro-server 4.2.0 以上 4.4.6 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Route middleware not enforced when rendering `.server.vue` pages via `/__nuxt_island/page_*`  Advisory  nuxt/nuxt  GitHub

1. 不適切なアクセス制御(CWE-284) [その他]
2. 代替パスまたはチャネルを使用した認証回避(CWE-288) [その他]

1. CVE-2026-47200

1. National Vulnerability Database (NVD) : CVE-2026-47200
2. 関連文書 : fix(nuxt): run middleware for page islands by danielroe  Pull Request #35092  nuxt/nuxt  GitHub

• [2026年06月16日]
    掲載