Nuxtチームは2026年7月26日(現地時間)、Nuxt 4.5.1と3.21.10、および@nuxt/devtools 3.3.1を公開した。これらは、高深刻度のサーバーサイドリモートコード実行 (RCE) 脆弱性を含む8件のセキュリティアドバイザリに対処するもので、全ユーザーに早期のアップグレードを推奨している。
発表された新バージョンは、Server-side remote code execution via server island propsを含む複数の高深刻度脆弱性に対応している。具体的な脆弱性には、認可バイパス、サーバーコンポーネントのサービス拒否、Nuxt 4.xのバージョン4.4.0以降に影響するキャッシュされたペイロードのクロスユーザー開示などが含まれる。
Vercelは、サーバーサイドリモートコード実行 (GHSA-9473-5f9j-94wq) 脆弱性の事前通知を受け、公開前にプラットフォーム全体のWAF緩和策を展開した。Vercelにデプロイされたアプリケーションは、設定変更なしでこれらの緩和策によって自動的に保護されている。しかし、これらの緩和策はサーバーサイドRCEの直接的な悪用のみをカバーしており、完全な保護ではないため、パッチ適用済みバージョンへのアップグレードが依然として必要である。コンポーネントのインスタンス化、キャッシュ、認可、サービス拒否、および開発時の脆弱性に対処するには、NuxtおよびNuxt DevToolsのアップグレードが求められる。
すべてのNuxtユーザーは速やかにNuxt 4.5.1以降、またはNuxt 3.21.10以降へのアップグレードが推奨される。Nuxt DevToolsも3.3.1以降への更新が必要となる。以前のルートルールアドバイザリ (CVE-2026-53721) のためにアップグレードしたユーザーも、今回の新たな認可バイパスが以前の修正のデグレードであるため、再度アップグレードする必要がある。Nuxt 4ユーザーがユーザー固有のデータを含む認証済みページをキャッシュしている場合、修正前に生成されたペイロードが残存する可能性があるため、上流キャッシュのパージもNuxtのガイダンスに従って実施することが推奨される。Vercelのプラットフォーム保護は追加の防御層を提供するが、影響を受ける依存関係のアップグレードの代替とはならない。
参考: Vercel Blog (アーカイブ) — 2026年7月27日 09:00 (JST)
原文ハイライト"Vercel received advance notice of the server-side remote code execution vulnerability"