GitHub 安全公告库 (GHSA)·· 1 小时前AI 评分42
Nuxt 修复 GHSA-934w-87qh-qr26 不完整补丁：pages 禁用时控制字符前缀的 javascript: URL 可执行
Nuxt: Incomplete fix for GHSA-934w-87qh-qr26: a `javascript:` URL prefixed with an ASCII control character executes from ` ` when `pages` is disabled
AI 导读
Nuxt 披露 GHSA-934w-87qh-qr26（CVE-2026-53722）修复不完整：在 pages 禁用（pages 为 false、无 pages/ 目录）的应用中，将不受控输入绑定到 :to 时，以 ASCII C0 控制字符（如 %01）前缀的 javascript: URL 会被当作内部路由绕过协议检查，点击后在本域执行脚本。
来源：GitHub 安全公告库 (GHSA) · github.com