Nazwa wtyczki	@nuxt/nitro-server
Rodzaj podatności	Atak typu cross-site scripting (XSS)
Numer CVE	CVE-2026-46342
Pilność	Niski
Data publikacji CVE	2026-05-20
Adres URL źródła	CVE-2026-46342

Nuxt Nitro ‘__nuxt_island’ Zatrucie Wspólnej Pamięci Podręcznej (CVE-2026-46342) — Co powinni wiedzieć właściciele stron WordPress

Autor: Zespół ds. bezpieczeństwa WP-Firewall
Data: 2026-05-20
Tagi: bezpieczeństwo, WordPress, WAF, Nuxt, headless, CVE-2026-46342

Streszczenie: Niedawno ujawniona luka w serwerze Nuxt Nitro wpływa na wersje >= 4.2.0 i <= 4.4.5. Może prowadzić do zatrucia wspólnej pamięci podręcznej i Cross-Site Scripting (XSS) poprzez __nuxt_island punkt końcowy. Problem został naprawiony w wersji 4.4.6. Jeśli Twoja strona WordPress integruje się z front-endami JavaScript, architekturami headless, renderowaniem na krawędzi CDN lub używa komponentów Nuxt/Nitro w swoim łańcuchu narzędzi, ta informacja wyjaśnia ryzyko, metody wykrywania, łagodzenia (w tym zasady zapory/edge w trybie awaryjnym) oraz długoterminowe strategie wzmacniania łańcucha dostaw.

---

Dlaczego to ma znaczenie dla właścicieli stron WordPress

Większość stron WordPress używa szablonów PHP i renderowania po stronie serwera za pomocą stosu WordPress. Jednak coraz większa liczba stron WordPress jest zintegrowana z nowoczesnymi front-endami JavaScript (Nuxt, Next, Remix) dla wydajności i doświadczenia dewelopera — architektura “headless” lub “odseparowana”. Te front-endy zazwyczaj polegają na serwerach opartych na Node, middleware Nitro oraz pamięciach podręcznych/CDN na krawędzi.

Zgłoszony problem (CVE-2026-46342) dotyczy punktu końcowego serwera Nitro używanego przez front-endy Nuxt: __nuxt_island. Gdy serwer nie jest w stanie ściśle powiązać odpowiedzi z właściwościami oryginalnego żądania, wspólna pamięć podręczna może dostarczyć odpowiedź stworzoną dla jednego użytkownika innemu użytkownikowi. Jeśli ta odpowiedź zawiera treści kontrolowane przez atakującego (na przykład, niesanitizowany HTML lub fragmenty skryptów), atakujący może zatruć pamięci podręczne i wywołać Cross-Site Scripting dla wielu odwiedzających stronę.

Nawet jeśli Twój backend WordPress nie działa bezpośrednio na Node, systemy WordPress mogą być dotknięte, gdy:

• Twoja strona WordPress używa front-endu Nuxt lub Nitro, który pobiera dane z WordPress REST API lub GraphQL.
• Twoje środowisko hostingowe korzysta z renderowania po stronie serwera lub usług renderowania na krawędzi, które zawierają komponenty oparte na Nitro.
• Twoje CI/CD, pipeline budowania lub usługi stron trzecich używają podatnego pakietu do generowania podglądów, wdrażania front-endów lub renderowania stron na krawędzi.

Ta informacja jest napisana z perspektywy bezpieczeństwa WordPress. Skoncentrujemy się na praktycznych krokach wykrywania i usuwania, które możesz zastosować natychmiast, oraz długoterminowych strategiach wzmacniania i wskazówkach dotyczących zasad WAF/edge.

---

Przegląd techniczny — co jest zepsute

Na wysokim poziomie:

• Ten __nuxt_island punkt końcowy jest odpowiedzialny za renderowanie lub nawadnianie komponentów wyspowych (małych interaktywnych fragmentów) w hybrydowym modelu renderowania Nuxt.
• Zachowanie podatne: odpowiedzi zwracane przez punkt końcowy nie są wystarczająco powiązane z właściwościami żądania (pochodzenie, nagłówki, ciasteczka, parametry zapytania). Jeśli warstwa pamięci podręcznej (CDN, proxy odwrotne lub wspólna pamięć podręczna po stronie serwera) przechowuje tę odpowiedź bez odpowiednich nagłówków Vary/Cache-Control lub kluczy pamięci podręcznej, odpowiedź z pamięci podręcznej może być dostarczana do innych żądań, które różnią się krytycznymi właściwościami żądania.
• Jeśli atakujący może skonstruować żądanie, które zawiera treści kontrolowane przez atakującego (np. poprzez wstrzyknięte właściwości, ładunki w parametrach zapytania lub odzwierciedlone dane z odpowiedzi API) i spowodować, że ta odpowiedź zostanie zbuforowana, atakujący może zatruć wspólną pamięć podręczną. Gdy inni użytkownicy otrzymują tę odpowiedź z pamięci podręcznej, każdy złośliwy skrypt wewnątrz zostanie wykonany w ich przeglądarkach (scenariusz XSS odzwierciedlony lub przechowywany) — co prowadzi do szerokiego wpływu, ponieważ pamięci podręczne obsługują wielu użytkowników.

Ostateczny wynik: jeden exploit może przekształcić się w masowe XSS za pomocą jednej zatrutej strony z pamięci podręcznej lub fragmentu wyspy.

---

Powierzchnia ataku dla stron WordPress

Oto powszechne wzorce integracji, które narażają strony zasilane WordPress na ten problem:

• Headless WordPress + front-end Nuxt:
  • WordPress dostarcza treści za pośrednictwem REST API / GraphQL.
  • Front-end Nuxt używa Nitro do renderowania wysp, które zawierają treści z WP.
  • Wrażliwy pakiet Nitro używany w procesie front-endowym może powodować zanieczyszczenie pamięci podręcznej.
• Renderowanie na krawędzi / podgląd CDN / generowanie obrazów OG:
  • Niektóre generatory podglądów na krawędzi lub punkty końcowe obrazów zawierają renderowanie oparte na Nitro.
  • Jeśli Twój dostawca hostingu lub CI używa komponentów Nitro, te punkty końcowe mogą być narażone.
• Narzędzia deweloperskie:
  • Systemy budowy i podglądu (storybook, podglądy SSR, generatory statycznych stron) instalujące wrażliwą zależność mogą tworzyć lub przesyłać zanieczyszczone artefakty lub zbuforowane wyjście.
• Integracje zewnętrzne:
  • Dostawcy wtyczek, twórcy motywów lub dostawcy usług headless mogą uruchamiać podglądy oparte na Nitro. Jeśli są skompromitowani lub używają wrażliwych wersji, strony klientów mogą być pośrednio dotknięte.

Jeśli Twoja strona WordPress jest czysto klasyczna (bez headless front-end, bez narzędzi Node w wdrożeniach), ryzyko jest znacznie mniejsze. Ale w nowoczesnych środowiskach DevOps warto sprawdzić.

---

Jak napastnicy mogą to wykorzystać (praktyczne scenariusze)

• Odbity XSS za pośrednictwem zbuforowanego fragmentu wyspy:
  • Napastnik wysyła specjalnie skonstruowane żądanie do __nuxt_island z parametrem kontrolowanym przez napastnika.
  • Nitro generuje fragment zawierający parametr bez odpowiedniej sanitizacji.
  • CDN buforuje fragment dla wspólnego klucza.
  • Kolejni odwiedzający otrzymują zbuforowany fragment; JavaScript napastnika działa w ich przeglądarce.
• Zatrucie podobne do przechowywania za pomocą danych upstream:
  • Jeśli front-end renderuje dane z API stron trzecich lub z systemu komentarzy, który akceptuje dane wejściowe od użytkowników, atakujący przechowuje złośliwe dane wejściowe w tym źródle.
  • Serwer renderuje wyspę z złośliwą zawartością; odpowiedź jest buforowana i później serwowana innym.
• Nadużycia na dużą skalę:
  • Bufory brzegowe oznaczają, że pojedynczy buforowany obiekt może wpływać na tysiące odwiedzających. Atakujący preferują trasy zatruwające pamięć podręczną, ponieważ wpływ jest wzmocniony.

---

Łatka i aktualizacja — najważniejsza poprawka

Jeśli używasz Nuxt/Nitro w jakiejkolwiek części swojego stosu, natychmiast zaktualizuj dotknięty pakiet:

• Dotyczy: @nuxt/nitro-server ≥ 4.2.0 i ≤ 4.4.5
• Poprawione w: 4.4.6 (zaktualizuj do 4.4.6 lub nowszej)

Działania:

1. Dla projektów, które używają npm/yarn/pnpm:
   • Uruchom npm install @nuxt/nitro-server@^4.4.6 (lub zaktualizuj swój package.json i uruchom menedżera pakietów).
   • Zaktualizuj pliki blokady (package-lock.json, yarn.lock, pnpm-lock.yaml) i zatwierdź je.
2. Dla zbudowanych w kontenerach:
   • Przebuduj obrazy i wdroż je ponownie po zaktualizowaniu pakietu i pliku blokady.
   • Unikaj polegania na niejawnych najnowszych wersjach — używaj wersji przypiętych i często przebudowuj obrazy.
3. Dla usług brzegowych lub podglądowych, którymi nie zarządzasz:
   • Skontaktuj się ze swoim dostawcą lub właścicielem usługi i poproś o potwierdzenie łatki.
   • Instrukcja, aby zaktualizowali do 4.4.6+ i unieważnili pamięci podręczne po zastosowaniu łatek.

Jeśli nie możesz zaktualizować natychmiast, skorzystaj z poniższych środków zaradczych.

---

Natychmiastowe środki zaradcze, które możesz zastosować teraz (nawet przed zastosowaniem łatek)

To praktyczne środki, które możesz szybko wdrożyć, aby zmniejszyć narażenie.

1. Wyłącz wspólne pamięci podręczne dla punktu końcowego wyspy
   • Upewnij się, że odpowiedzi z __nuxt_island są oznaczone jako niepamięciowalne przez wspólne pamięci podręczne:
   • Ustaw Cache-Control: prywatne, brak pamięci podręcznej, brak przechowywania, musi być ponownie zweryfikowane (wybierz odpowiednią dyrektywę dla swojego środowiska).
   • Dodać Zróżnicuj nagłówki, aby uwzględnić ciasteczka/autoryzację/gospodarza, jeśli odpowiedzi na nich polegają: Vary: Cookie, Authorization, Accept-Encoding, Host.
   • Jeśli kontrolujesz zasady CDN, utwórz regułę, aby pominąć pamięć podręczną dla dowolnej ścieżki pasującej do /__nuxt_island lub podobne.
2. Wirtualne łatanie za pomocą swoich zasad WAF / edge
   • Utwórz jedną lub więcej reguł zapory, aby zablokować lub wyzwać żądania do /__nuxt_island które zawierają podejrzane ładunki:
   • Blokuj żądania zawierające <script, onerror=, ładowanie=, zakodowane tokeny skryptów (np., <script), lub oczywiste wzorce XSS w ciągach zapytań.
   • Ogranicz liczbę lub wyzwij CAPTCHA dla anormalnych żądań do tej ścieżki.
   • Jeśli to możliwe, blokuj żądania, gdzie Akceptuj nagłówki wskazują na renderowanie HTML oraz podejrzane wartości zapytań.
   • Przykład reguły w stylu ModSecurity (koncepcyjnej):

   SecRule REQUEST_URI "@contains /__nuxt_island" "id:100001,phase:1,log,deny,ctl:forceRequestBodyVariable=On,msg:'Blokuj podejrzane żądania wyspy'"
         

   Dostosuj identyfikatory i poziom zagrożenia do swojego środowiska. Testuj przed blokowaniem w produkcji.

3. Opróżnij pamięci podręczne
   • Jeśli uważasz, że doszło do zainfekowania (lub jako środek ostrożności), opróżnij pamięci podręczne na wszystkich poziomach:
     • pamięci podręczne krawędzi CDN
     • pamięci podręczne proxy odwrotnego (Varnish)
     • pamięci podręczne aplikacji (jeśli istnieją)
   • Użyj nagłówków do łamania pamięci podręcznych lub wersjonowania dla fragmentów wyspy, jeśli to konieczne.
4. Dodaj Politykę Bezpieczeństwa Treści (CSP)
   • Wdrażaj lub zaostrzaj CSP dla stron, które zawierają fragmenty wyspy:
     • Przykład: Content-Security-Policy: default-src 'self'; script-src 'self' 'nonce-...'; object-src 'none'; base-uri 'self';
     • Surowy CSP może ograniczyć wpływ XSS, nawet jeśli atakujący wstrzyknie tag skryptu.
5. Zwiększ walidację/sanitację odpowiedzi
   • Po stronie serwera (Nuxt lub usługi downstream), upewnij się, że wszelkie dane włączone do odpowiedzi są odpowiednio escapowane lub sanitizowane przed ich uwzględnieniem w renderowanym HTML serwera.
6. Monitoruj logi i ruch
   • Szukaj nagłych wzrostów w żądaniach do __nuxt_island.
   • Sprawdź powtarzające się wzorce w ciągach zapytań lub ciałach POST, które zawierają tokeny skryptów.
   • Monitoruj wzorce trafień pamięci podręcznej krawędzi i klucze pamięci podręcznej.

---

Sugestie dotyczące reguł WAF i krawędzi (konkretne)

Poniżej znajdują się praktyczne zasady, które możesz dostosować. Są celowo ogólne i powinny być najpierw testowane w środowisku staging.

Fragment Nginx do ustawiania nagłówków cache dla punktu końcowego wyspy:

location ~* /__nuxt_island {

Proste zasady ModSecurity (koncepcyjne):

# Zablokuj żądania zawierające oczywiste wzorce XSS do punktu końcowego wyspy"

Wzmacnianie odpowiedzi za pomocą pracownika brzegowego (pseudo-kod):

• Przechwytywanie odpowiedzi dla /__nuxt_island.
• Jeśli odpowiedź zawiera <script lub podejrzany inline JS I żądanie nie ma odpowiedniej autoryzacji lub oczekiwanego nagłówka, odrzuć/wzywaj odpowiedź i nie cache'uj.
• W przeciwnym razie upewnij się, że odpowiedź ma Cache-Control: prywatne.

Wzmacnianie klucza cache:

• Upewnij się, że klucze cache zawierają właściwości specyficzne dla użytkownika, gdzie treść się różni (Cookie, nagłówek Authorization, Accept-Language itp.). Źle skonfigurowany klucz cache, który ignoruje ciasteczka, jest główną przyczyną zanieczyszczenia.

Ograniczenie liczby żądań:

• Zastosuj limity na żądania do __nuxt_island, np. 5 żądań na minutę na IP, aby zmniejszyć wykonalność prób zanieczyszczenia.

Pamiętaj: podejmuj stopniowe kroki w stagingu i monitoruj fałszywe pozytywy. Zasady WAF są tępych narzędziami; testuj, aby uniknąć łamania legalnego ruchu.

---

Wykrywanie: jak wiedzieć, czy jesteś dotknięty

1. Inwentaryzacja swojego stosu
   • Przeszukaj swoją bazę kodu, konfiguracje CI/CD i logi budowy w poszukiwaniu odniesień do @nuxt/nitro-server, nuxt, nitro, I __nuxt_island.
   • Używać npm ls @nuxt/nitro-server lub równoważne, aby wylistować zainstalowane wersje.
   • Sprawdzać package-lock.json, yarn.lock, pnpm-lock.yaml aby znaleźć zależności przejściowe.
2. Sprawdź logi serwera i CDN
   • Szukaj ruchu do ścieżek takich jak /__nuxt_island (lub podobnych punktów końcowych wyspy/hydratacji).
   • Szukaj żądań z podejrzanymi ciągami zapytań zawierającymi scenariusz, błąd, lub zakodowane warianty (%3C, <).
3. Przejrzyj odpowiedzi z pamięci podręcznej
   • Pobierz z pamięci podręcznej HTML krawędzi dla stron i sprawdź pod kątem wstrzykniętych <script> tagów lub obsług zdarzeń inline, których nie napisałeś.
   • Jeśli twój CDN obsługuje inspekcję pamięci podręcznej, zweryfikuj obiekty w pamięci podręcznej pod kątem nietypowej zawartości.
4. Automatyczne skanowanie
   • Uruchom skanery zależności (npm audit, narzędzia SCA), aby zlokalizować podatne wersje pakietów.
   • Użyj skanerów internetowych (detektory XSS), aby bezpiecznie badać punkty końcowe renderowania w stagingu.

---

Jeśli uważasz, że zostałeś zaatakowany — natychmiastowe kroki w przypadku incydentu

1. Wyłącz podatny punkt końcowy z publicznego buforowania:
   • Tymczasowo ustaw Cache-Control: no-store na punktach końcowych wyspy.
   • Opróżnij pamięci podręczne w całym CDN i proxy.
2. Odbuduj i załatw:
   • Aktualizacja @nuxt/nitro-server do 4.4.6+.
   • Odbuduj kontenery i wdroż na nowo.
3. Zawęź i zbadaj:
   • Izoluj podejrzane serwery lub procesy.
   • Zrzutuj logi z okna czasowego podejrzanego zarażenia.
   • Zidentyfikuj i wypisz dotknięte klucze pamięci podręcznej i je usuń.
4. Oczyść i wzmocnij:
   • Usuń lub oczyść wszelkie złośliwe ładunki, które mogły pozostać w źródłach danych upstream.
   • Zmień sekrety, które mogły zostać ujawnione.
   • Ponownie oceń CSP i sanitację danych wejściowych.
5. Komunikacja:
   • Jeśli dane użytkowników były zagrożone lub exploit był publiczny, postępuj zgodnie z polityką ujawniania incydentów i powiadom interesariuszy.

---

Długoterminowe wzmocnienie łańcucha dostaw i wdrożeń dla właścicieli WordPressa

• Utrzymuj inwentarz zależności:
  • Śledź zależności Node i PHP używane przez Twoją stronę i Twój pipeline CI.
  • Okresowo uruchamiaj skany SCA (Analiza Składu Oprogramowania) we wszystkich pakietach.
• Zablokuj i przypnij zależności:
  • Użyj dokładnych wersji w pakiet.json dla pakietów krytycznych dla produkcji.
  • Zatwierdź pliki blokady i regularnie przeprowadzaj odbudowy.
• Zautomatyzuj aktualizacje:
  • Użyj narzędzi automatycznych (w stylu renovate lub zaplanowanych audytów), aby zaproponować aktualizacje; testuj i wdrażaj regularnie.
  • Rozważ automatyczny pipeline, który odbudowuje obrazy i uruchamia testy integracyjne, gdy wydawane są poprawki zależności.
• Ogranicz powierzchnię pamięci podręcznej:
  • Włączaj agresywne współdzielone buforowanie tylko dla naprawdę statycznych zasobów.
  • Dla dynamicznych fragmentów lub fragmentów spersonalizowanych przez użytkownika, użyj Cache-Control: prywatne lub pomiń buforowanie.
• Wzmocnij renderowanie front-endu:
  • Upewnij się, że fragmenty renderowane przez serwer domyślnie unikają danych użytkownika.
  • Przyjmij silniki szablonów, które automatycznie unikają, lub jawnie oczyszczaj niebezpieczne pola.
• Wymagaj bezpiecznych nagłówków:
  • CSP, X-Content-Type-Options, Referrer-Policy, X-Frame-Options, Strict-Transport-Security — utrzymuj te zasady w całym serwisie.
• Monitoruj i rejestruj:
  • Zgromadzone logi dotyczące dostępu do punktów końcowych i zachowania pamięci podręcznej pomagają szybciej wykrywać anomalie.
  • Monitoruj zdarzenia WAF/edge i regularnie przeglądaj zasady.

---

Konkretne zalecenia dotyczące WordPressa (praktyczna lista kontrolna)

• Jeśli Twoja strona jest headless:
  • Potwierdź, które wersje front-endu i pakiety są używane; zaktualizuj Nitro tam, gdzie to konieczne.
  • Upewnij się, że odpowiedzi Twojego WordPress REST API poprawnie kodują i oczyszczają pola HTML.
  • Upewnij się, że środowiska podglądu i CI są tak samo zabezpieczone jak produkcja.
• Jeśli Twoja strona korzysta z pipeline'u Jamstack lub SSR (np. Netlify, Vercel, inni dostawcy):
  • Skontaktuj się ze swoim dostawcą w celu potwierdzenia statusu pakietu Nitro w ich środowiskach.
  • Oczyść pamięci podręczne krawędzi po aktualizacjach.
• Jeśli Twoja strona to klasyczny WordPress, ale polegasz na wtyczkach lub usługach innych firm, które mogą renderować strony na krawędzi:
  • Sprawdź dostawców wtyczek pod kątem powiadomień i aktualizacji.
  • Zapytaj zespoły hostingowe lub platformowe o użycie Nitro w ich stosie.

---

Sygnały monitorowania, na które należy zwrócić uwagę w nadchodzących tygodniach

• Zwiększona liczba żądań trafiających __nuxt_island z ładunkami, które zawierają zakodowane <script> formularze.
• Nagłe pojawienie się skryptów inline w pamięci podręcznej HTML serwowanej przez Twój CDN.
• Podwyższone trafienia reguł WAF/krawędzi związane z punktami końcowymi wyspy.
• Zgłoszenia wyskakujących okienek, przekierowań lub niespodziewanego javascriptu na stronach, które wcześniej były statyczne.

Jeśli zauważysz te oznaki, traktuj je poważnie: oczyść pamięci podręczne, zastosuj wirtualne poprawki i zaktualizuj pakiety.

---

Zabezpiecz swoją stronę za darmo — zacznij od WP-Firewall Basic

Jeśli chcesz prostego, skutecznego punktu wyjścia do ochrony WordPressa podczas weryfikacji i łatania komponentów upstream, rozważ nasz plan Basic (darmowy). Daje Ci on podstawowe zabezpieczenia, które zmniejszają narażenie na zagrożenia aplikacji internetowych, podczas gdy wdrażasz powyższe ukierunkowane łagodzenia.

Co otrzymujesz z planem Basic (Darmowy):

• Zarządzany firewall chroniący wspólne powierzchnie ataku
• WAF blokujący powszechne wzorce wstrzykiwania i XSS
• Skaner złośliwego oprogramowania do wykrywania podejrzanych wstrzykniętych ładunków
• Nielimitowana przepustowość i ciągłe skanowanie
• Zakres łagodzenia ryzyka dla 10 największych zagrożeń OWASP

Zarejestruj się i aktywuj darmowy plan, aby dodać warstwę ochronną podczas stosowania poprawki Nuxt/Nitro i kroków wzmacniających: https://my.wp-firewall.com/buy/wp-firewall-free-plan/

---

Przykład: Jak zareagowalibyśmy na poziomie WAF (operacyjny podręcznik)

1. Triage:
   • Zidentyfikuj, czy strona używa podatnych wersji Nitro.
   • Jeśli tak, natychmiast włącz zestaw reguł WAF, który celuje w wzorce XSS w island-path.
2. Zastosuj zasady wirtualnej łatki:
   • Tymczasowo oznacz /__nuxt_island odpowiedzi jako niecache'owalne dla współdzielonych pamięci podręcznych przez edge.
   • Dodaj reguły przychodzące, aby zablokować żądania zawierające tokeny skryptów.
3. Powiadomienie:
   • Powiadom właścicieli stron i programistów o aktualizacji do 4.4.6+.
   • Zaplanuj okno wdrożeniowe, aby zaktualizować zależności i odbudować kontenery.
4. Weryfikacja:
   • Po wdrożeniu aktualizacji + reguł WAF, uruchom zautomatyzowany zestaw testów i symulowane próby XSS w staging.
   • Po pomyślnym przejściu testów, usuń zbyt restrykcyjne reguły WAF, które mogą blokować ważny ruch i polegaj na poprawce upstream.
5. Analiza po incydencie:
   • Sprawdź, dlaczego klucz pamięci podręcznej lub nagłówki Vary były źle skonfigurowane.
   • Popraw kontrolę wdrożeń, aby zapewnić szybsze stosowanie aktualizacji zależności.

---

Często zadawane pytania (krótkie)

P: Moja strona to klasyczny WordPress bez front-endu Node — czy jestem dotknięty?
O: Jeśli w twoim stosie nie ma komponentów Nuxt/Nitro, twoje bezpośrednie narażenie jest minimalne. Ale sprawdź narzędzia deweloperskie, usługi podglądu lub CDN-y używane przez twoją stronę pod kątem użycia Nitro.

P: Zaktualizowałem do 4.4.6, ale nadal widzę podejrzane skrypty na zbuforowanych stronach — co dalej?
O: Opróżnij pamięci podręczne we wszystkich warstwach (edge, CDN, reverse proxy). Aktualizacja może nie usunąć wcześniej zbuforowanych zainfekowanych zasobów automatycznie.

P: Czy Polityka Bezpieczeństwa Treści może to całkowicie złagodzić?
O: CSP zmniejsza wpływ wstrzykniętych skryptów, ale nie rozwiązuje problemu z zatruciem pamięci podręcznej. Użyj CSP + cache-control + łatanie dla pełnego złagodzenia.

Q: Jak pilna jest ta aktualizacja?
O: To ważne: exploit ma niską powagę w CVSS, ale może być użyty do skalowalnych ataków na zatrucie pamięci podręcznej, które wpływają na wielu użytkowników. Priorytetowo traktuj łatanie, jeśli używasz Nuxt/Nitro w jakiejkolwiek części swojego łańcucha dostaw.

---

Ostateczne zalecenia — priorytetowa lista kontrolna

1. Inwentaryzacja: Szukaj użycia Nitro/Nuxt w całej swojej stronie, CI i dostawcy hostingu.
2. Łata: Aktualizacja @nuxt/nitro-server do 4.4.6+ wszędzie tam, gdzie się pojawia.
3. Ochrona: Zastosuj zasady WAF i ustaw nagłówki Cache-Control/Vary, aby zapobiec używaniu wspólnej pamięci podręcznej dla dynamicznych fragmentów.
4. Opróżnij: Wyczyść pamięci podręczne na CDN i warstwach brzegowych.
5. Wzmocnij: Wdrażaj/wzmacniaj CSP, oczyszczaj treści renderowane przez serwer i upewnij się, że klucze pamięci podręcznej różnią się w zależności od nagłówków wrażliwych na użytkownika.
6. Zautomatyzuj: Dodaj rutynowe skany SCA i zautomatyzowane aktualizacje zależności do swojego pipeline'u.

---

Jeśli chcesz, aby podręcznik operacyjny był dostosowany do architektury hostingu WordPress (klasyczny vs. headless vs. hybrydowy), nasz zespół ds. bezpieczeństwa może mapować kroki do twojego stosu i dostarczyć zalecane fragmenty zasad WAF oraz skrypty testowe, które możesz uruchomić w stagingu przed wdrożeniem produkcyjnym.