Node.js 7月セキュリティリリース、11件の脆弱性を修正 — 2026年 第31週 JavaScript

Nuxtは4.5.1または3.21.10への即時upgradeと、@nuxt/devtools@3.3.1を含むdeduped lockfileを推奨しています。今回のreleaseはisland props経由の条件付きserver-side code execution、unauthorized component instantiation、大文字route ruleの認可バイパス、二つのserver component DoS経路を修正します。Nuxt 4.xではcache、swr、isr下で認証済み_payload.json responseが別ユーザーへ漏れる問題も修正しました。Upgradeだけではupstreamの不正cacheは消えません。別のCriticalなDevTools RPC脆弱性はhost・LAN・malicious siteから届くdevelopment環境のみに影響し、productionには影響しません。

ExpressはLow深刻度のDoS脆弱性CVE-2026-12590を修正したbody-parser 1.20.6と2.3.0を公開しました。旧versionではparse不能なstringやNaNをlimit optionへ渡すとbytes.parse()がnullを返し、request-size enforcementを黙って飛ばしていました。値を動的計算したり別systemの設定を受けるapplicationは、巨大bodyを受理してmemoryとCPUを枯渇させられました。Patched versionは危険な設定を受け入れずparser生成時に例外を投げます。Upgradeと同時に設定body limitを検証するstartup testを追加すべきです。

WebMCPはagentにscreenshot、accessibility tree、raw DOMを解釈させる代わりに、pageがschema-typedでroute-scopedなtoolを公開する提案です。MCP wire protocolではなくJSON-RPC transportもなく、unattended automationではなくhuman-in-the-loopを明示的に志向します。Imperative toolはdocument.modelContextで登録し、declarative formはcontrolからschemaを作れますが、toolautosubmitがなければhuman clickを求めます。Cross-origin登録はデフォルト無効でPermissions Policyによる委任が必要です。現在はChrome origin trial中の実験的W3C Community Group草案で、production導入よりprototypeとfeedback向けです。

Auth0 Next.js SDK v4はApp Routerのserver-first実行modelへ認証を合わせます。Shared Auth0Clientとproxy.tsがlegacy auth route handlerを置き換え、getSession()はServer ComponentとServer Action内でencrypted cookieを直接読みます。重要な境界はすべてのServer Actionが認証をやり直すことです。各actionは独立実行され、pageのrendering後にsessionが変わり得ます。Layout guardはprivate route groupに向きますが、機密pathが抜けないようproxy matcherをセキュリティポリシーとしてレビューすべきです。Client-side useUser()は表示専用で、認可やprotected mutationには使いません。