Nuxt 2026年7月安全公告
内容提要
Nuxt发布安全更新4.5.1和3.21.10，修复八个安全漏洞，包括高危的服务器端远程代码执行和授权绕过。Vercel已部署WAF缓解措施，但用户仍需升级至最新版本，并清除可能含旧数据的缓存。
延伸解读
升级优先级与影响范围
本次公告涉及八个安全公告，其中高危及以上漏洞占多数，包括服务器端远程代码执行、授权绕过和缓存数据泄露。这些漏洞影响Nuxt 4.x和3.x多个版本，且部分漏洞（如跨用户缓存泄露）仅影响Nuxt 4.4.0及更高版本。用户应优先升级至4.5.1或3.21.10，并同步更新Nuxt DevTools至3.3.1，以覆盖开发环境中的远程代码执行漏洞。
Vercel WAF的局限性
Vercel已针对服务器端RCE漏洞部署了平台级WAF缓解措施，但该措施仅覆盖直接利用该漏洞的攻击路径。对于组件实例化、缓存、授权绕过、拒绝服务等其余漏洞，WAF无法提供保护，必须通过升级依赖来修复。因此，即使部署在Vercel上，用户也不应依赖WAF作为唯一防线，升级仍是必要步骤。
缓存清理与历史修复的回归风险
对于缓存了包含用户特定数据的认证页面的Nuxt 4用户，升级后需清除上游缓存中可能由旧版本生成的负载，以防数据泄露。此外，本次公告中的授权绕过漏洞是之前CVE-2026-53721修复的回归，意味着即使已按早期公告升级的用户，仍需再次升级至最新版本，以确保修复完整。
Q&A
Nuxt 2026年7月安全公告修复了哪些漏洞？
Nuxt 4.5.1和3.21.10修复了八个安全漏洞，包括服务器端远程代码执行、未授权组件实例化、路由规则授权绕过、服务器组件拒绝服务、跨用户缓存负载泄露、开发服务器路径泄露，以及Nuxt DevTools中的远程代码执行（仅开发环境）。
Nuxt 2026年7月安全公告中最严重的漏洞是什么？
最严重的漏洞是Nuxt DevTools中的远程代码执行漏洞（GHSA-279x-mwfv-vcqv），被标记为严重级别，但仅影响开发环境。此外，服务器端远程代码执行漏洞（GHSA-9473-5f9j-94wq）被标记为高危。
Vercel平台提供了哪些保护措施？
Vercel在公开披露前收到了服务器端远程代码执行漏洞（GHSA-9473-5f9j-94wq）的提前通知，并部署了平台级的WAF缓解措施。部署在Vercel上的应用会自动受到这些缓解措施的保护，无需额外配置。但WAF仅覆盖直接利用该RCE漏洞的情况，其他漏洞仍需升级修复。
Nuxt用户应该如何升级到修复版本？
Nuxt 4用户应升级到4.5.1或更高版本，Nuxt 3用户应升级到3.21.10或更高版本，Nuxt DevTools应升级到3.3.1或更高版本。升级命令为：npx nuxt upgrade --dedupe。该命令会刷新lockfile并拉取修复后的Nuxt DevTools版本。
为什么之前升级过CVE-2026-53721的用户仍需再次升级？
因为新披露的授权绕过漏洞是之前修复CVE-2026-53721时引入的回归问题，所以即使之前升级过，也需要再次升级到最新版本以修复该回归。
Nuxt 4用户缓存了包含用户特定数据的认证页面，应该如何处理？
Nuxt 4用户如果缓存了包含用户特定数据的认证页面，应按照Nuxt的指导清除可能包含修复前生成的负载的上游缓存，以防止跨用户数据泄露。
Vercel的WAF缓解措施能否完全保护应用？
不能。Vercel的WAF缓解措施仅覆盖服务器端远程代码执行漏洞的直接利用，其他漏洞（如组件实例化、缓存、授权、拒绝服务和开发时漏洞）仍需升级Nuxt和Nuxt DevTools来修复。因此，升级是必须的。
