Ongeauthenticeerde SSRF in Nuxt OG Image via fonts[].path-parameter (CVE-2026-61793)

Wat is er gebeurd

nuxt-og-image biedt een route (/_og/d/**) aan die, bij de standaard documentatie-instellingen van het pakket, zonder authenticatie bereikbaar is. Deze route accepteert een base64url-gecodeerde 'fonts'-parameter die wordt gedecodeerd en doorgegeven aan een mechanisme voor het laden van lettertypen. Door een aanvaller aangeleverde waarden in fonts[].path worden doorgestuurd naar een server-side fetch-operatie die het URL-schema, de herkomst, het opgeloste netwerkadres of eventuele redirects niet valideert.

Technische oorzaak

De kwetsbaarheid komt voort uit onvoldoende invoervalidatie (CWE-20). Concreet decodeert de functie decodeOgImageParams de fonts-parameter via base64url, waarna de resulterende fonts[].path-waarden ongecontroleerd doorstromen naar loadDefinedFonts en vervolgens naar een font-assets Node.js-binding die de daadwerkelijke HTTP-fetch uitvoert. Omdat het schema, de bestemming en eventuele redirect-doelen van dit verzoek niet worden gevalideerd, kan een aanvaller de server laten verzoeken sturen naar willekeurige interne of externe netwerklocaties.

Waarom dit belangrijk is

Dit lek maakt blinde SSRF-verzoeken mogelijk naar loopback-adressen, private netwerkbereiken, link-local-adressen en cloud-metadata-endpoints. Hoewel de inhoud van de respons niet per se aan de aanvaller wordt teruggegeven, kunnen verschillen in responsstatus en responstijd onthullen of een interne dienst bereikbaar is, wat netwerkverkenning mogelijk maakt. Daarnaast kunnen verzoeken naar trage of niet-reagerende doelen de workers voor het renderen van OG-afbeeldingen bezet houden gedurende de geconfigureerde fetch- en render-timeouts, wat de beschikbaarheid van de dienst kan aantasten.

Wie wordt getroffen

Applicaties die nuxt-og-image gebruiken zijn kwetsbaar wanneer de standaard documentatie-configuratie van het pakket actief is, specifiek wanneer security.strict is ingesteld op false en security.secret is achtergelaten als lege string. Onder deze standaardinstellingen is de kwetsbare route /_og/d/** zonder authenticatie bereikbaar.

Getroffen versies

Versies van nuxt-og-image vanaf 6.0.2 tot, maar niet met inbegrip van, 6.7.0 zijn kwetsbaar.

Oplossingen en mitigatie

Het probleem is verholpen in nuxt-og-image versie 6.7.0. Beheerders en ontwikkelaars die nuxt-og-image gebruiken, wordt aangeraden naar deze versie te upgraden.

Aanbevolen actie

Upgrade nuxt-og-image zo snel mogelijk naar versie 6.7.0. Is een directe upgrade niet mogelijk, controleer dan uw configuratiewaarden voor security.strict en security.secret, aangezien de beschreven kwetsbaarheid afhankelijk is van de standaard documentatie-instellingen (security.strict = false en security.secret = "") om de betreffende route zonder authenticatie bereikbaar te laten.