🇰🇷 한글 설명
Nuxt는 Vue.js용 오픈소스 웹 개발 프레임워크입니다. 3.0.0부터 4.6.3 이전 버전까지 Nuxt 개발 서버가 HTTP로 접근 가능한 상태이면, Vite 파일 서빙을 통해 <buildDir>/dev/index.mjs의 Nitro 2 개발 번들이 노출될 수 있습니다. 이 번들에는 nuxt.config에 설정된 비공개 runtimeConfig 비밀값과, 4.6.0 이상에서는 생성된 개발용 appSecret이 포함됩니다. 기본 localhost 바인딩으로 원격 노출은 제한되며, 프로덕션 빌드와 Nitro 3은 영향을 받지 않습니다.
💡 쉬운 설명
개발 서버를 외부 네트워크에서 접근 가능하게 열어둔 경우, 설정 파일에 담긴 비밀 정보가 누구나 볼 수 있는 파일에 그대로 포함될 수 있습니다. 기본 설정(localhost)에서는 외부 노출 위험이 낮습니다.
🇺🇸 원문 (English)
Nuxt is an open-source web development framework for Vue.js. From 3.0.0 until 4.6.3, the Nuxt development server can expose the Nitro 2 development bundle at <buildDir>/dev/index.mjs through Vite file serving when the server is reachable over HTTP. Nitro inlines private runtimeConfig values resolved at build time into that bundle, including secrets configured in nuxt.config, and Nuxt 4.6.0 and later also inline the generated development appSecret. The default localhost binding limits remote exposure, production builds and Nitro 3 are not affected, and runtime configuration supplied only through NUXT_* environment variables at server startup is not inlined. This issue is fixed in version 4.6.3.
📍 영향받는 시스템
Nuxt 3.0.0 이상 4.6.3 미만의 개발 서버(nuxt dev) 사용 환경
⚔️ 공격 벡터
공격자가 HTTP로 접근 가능한 Nuxt 개발 서버에 요청하여 <buildDir>/dev/index.mjs 번들을 내려받아 내부 비밀값을 탈취
🛡️ 대응 방법
Nuxt를 4.6.3 이상으로 업그레이드하고, 개발 서버를 외부에 노출하지 않으며, 비밀값은 NUXT_* 환경변수로 주입
🔧 검증 코드
출력된 nuxt 버전이 4.6.3 미만이면 취약하며, 4.6.3 이상이면 패치된 것입니다. 출력이 없으면 프로젝트에 nuxt가 설치되지 않은 것입니다.
npm ls nuxt 2>/dev/null | grep -E 'nuxt@'