Modul Ollama Nuxt mengekspos kunci API cloud yang dikonfigurasi dalam payload window.__NUXT__ di sisi klien

src/module.ts menggabungkan api_key cloud yang dikonfigurasi ke runtimeConfig.public.ollama dan useOllama.ts membaca kunci publik tersebut, mengekspos kredensial dalam teks biasa ke klien mana pun yang mengambil halaman tanpa memerlukan permintaan Ollama dibuat. Kunci yang dicuri memungkinkan panggilan API cloud tanpa izin, penyalahgunaan kuota/batas laju, dan akses ke model atau percakapan yang disimpan.

Ini membocorkan kredensial penyedia LLM untuk aplikasi AI kepada siapa pun yang dapat memuat halaman, memungkinkan penyalahgunaan gaya LLMjacking terhadap akun API model operator dan penagihan.

Modul ini secara tanpa syarat menggabungkan semua opsi modul, termasuk api_key cloud, ke runtimeConfig.public.ollama, yang diserialisasi oleh Nuxt ke payload window.__NUXT__ dalam HTML yang dirender server; kunci tersebut juga dikirim sebagai Authorization Bearer dari permintaan Ollama di sisi browser.

nuxt-ollama < 1.3.1

Tingkatkan ke nuxt-ollama 1.3.1 (GHSA-fxg7-897c-57mp); pindahkan kunci API keluar dari runtimeConfig.public sehingga tidak diserialisasi di sisi klien.