Vulnérabilité dans nuxt-ollama (CVE-2026-59158)
Résumé
Vulnérabilité dans nuxt-ollama (CVE-2026-59158). Risque d'opérations non autorisées ou de divulgation. Exploitable via api_key. Atténuation : mise à jour vers 1.3.1 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Public Runtime Config Exposes Ollama API Key to Browser Clients
Summary
nuxt-ollama@1.2.26 unconditionally merges all module options — including api_key — into Nuxt's public runtime config (runtimeConfig.public.ollama). Nuxt serializes runtimeConfig.public into the SSR HTML response inside a `` payload block (window.__NUXT__), making the API key visible in plaintext to any unauthenticated HTTP client that fetches the page. An attacker with no credentials can steal the Ollama cloud API key with a single HTTP GET request, then use it to make arbitrary requests to the Ollama API at the operator's expense.
Details
The vulnerability is a design flaw in src/module.ts. During Nuxt module setup, the entire _options object — which contains api_key when configured for cloud Ollama as documented in README.md:71-80 — is merged into the public runtime config namespace:
// src/module.ts:35-36
const currentConfig = (runtimeConfig.public.ollama ?? {}) as OllamaOptions
runtimeConfig.public.ollama = defu(currentConfig, _options)
Nuxt's SSR pipeline serializes runtimeConfig.public and embeds it in every server-rendered HTML page for client-side hydration. This results in the api_key appearing verbatim in the window.__NUXT__ script block:
window.__NUXT__={};
window.__NUXT__.config={
public:{
ollama:{
protocol:"https",
host:"api.ollama.com",
port:"",
proxy:false,
api_key:"LEAKED_TEST_KEY_123"…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-59158 a été découverte dans nuxt-ollama.
Des attaquants peuvent cibler un point d'entrée spécifique comme api_key à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation.
Action : mettez à jour nuxt-ollama vers 1.3.1 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « nuxt-ollama CVE-2026-59158 » sur le site de l'éditeur.
CVE-2026-59158 (nuxt-ollama) — CWE-522
Surface d'attaque : api_key / runtimeConfig.public.ollama / runtimeConfig.public / window.__NUXT__
Correctif : 1.3.1 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-522) affecte nuxt-ollama. Les attaquants atteignent le code vulnérable via api_key.
Consultez l'avis de l'éditeur pour les versions affectées de nuxt-ollama. Surface d'attaque : api_key / runtimeConfig.public.ollama / runtimeConfig.public / window.__NUXT__.
Gravité : ?. Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 1.3.1.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'nuxt-ollama' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
nuxt-ollamaを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade nuxt-ollama to 1.3.1ステージング環境で 1.3.1 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- package github.com
- web github.com
- web github.com