Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

v1: auth-page innerHTML XSS (CVE-2025-52662) — fix 7cadbbe9 only on main

Aperta
#988 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
2/5
Tempo stimato
1-3 ore
Idoneità per principianti
58/100
Tipo di issue
Bug
Chiarezza
Abbastanza chiara
Stato di attività
Tranquilla
Stack tecnologico
typescript
Ambito
authentication, security

Direzione di ricerca

Per prima cosa ispeziona packages/devtools/src/runtime/auth/index.html in v1 e confrontalo con il commit 7cadbbe9 per confermare l’assegnazione vulnerabile e il backport previsto. Verifica se v1 è ancora mantenuto; in tal caso, applica la modifica contenuta nell’unico commit e verifica che la pagina di autenticazione non scriva più il parametro di query Bearer tramite innerHTML.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

Hi — flagging a likely missing backport on the v1 branch.

CVE-2025-52662 was fixed by 7cadbbe9 on the default branch ("using textContent instead of innerHTML for auth page"). The patch swaps an innerHTML write to textContent inside packages/devtools/src/runtime/auth/index.html, eliminating a DOM-XSS sink fed by the Bearer query parameter.

A few facts that suggest the fix did not reach v1:

  • compare v1...7cadbbe9 → ahead_by=125, behind_by=0 (i.e. v1 strictly lacks the fix path)
  • packages/devtools/src/runtime/auth/index.html exists on v1 and still contains innerHTML-based assignment (the pre-patch shape)
  • No prior issue/PR references CVE-2025-52662 in this repo
  • Last commit on v1 is 2025-01-02, so the branch is not totally inactive

If v1 is still considered a maintained line for users on the older Nuxt-DevTools major, a one-commit cherry-pick of 7cadbbe9 onto v1 would close the gap. The patch is a single small file edit and should not collide with anything else.

Happy to open the cherry-pick PR if it would help. If v1 is end-of-life and users should upgrade, that's also a clear answer — please close in that case so I don't re-surface it.

Thanks for maintaining devtools!

Lingua principale
TypeScript
Stelle
3.3k
Fork
214
Merge medio
19h 45m
PR unite (30g)
12

Guida per i contributori

Apri la guida per i contributori

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di nuxt/devtools

Tutte le issue di nuxt/devtools

Issue simili

Altre issue su TypeScript

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.