Node.js 7월 보안 릴리스, 취약점 11건 패치 — 2026년 31주 자바스크립트

Nuxt는 4.5.1 또는 3.21.10으로 즉시 upgrade하고 @nuxt/devtools@3.3.1이 포함된 deduped lockfile을 사용하라고 권고합니다. 이번 release는 island props를 통한 조건부 server-side code execution, unauthorized component instantiation, 대문자 route rule 인가 우회, server component DoS 경로 2개를 수정합니다. Nuxt 4.x는 cache, swr, isr 아래에서 인증된 _payload.json response가 다른 사용자에게 노출되는 문제도 패치했습니다. Upgrade만으로 upstream의 잘못된 cache가 제거되지는 않습니다. 별도 Critical DevTools RPC 취약점은 host, LAN, malicious site에서 접근 가능한 development 환경에만 영향을 주고 production에는 영향을 주지 않습니다.

Express는 Low 심각도 DoS 취약점 CVE-2026-12590을 해결한 body-parser 1.20.6과 2.3.0을 출시했습니다. 이전 version에서는 parse할 수 없는 string이나 NaN을 limit option으로 넘기면 bytes.parse()가 null을 반환해 request-size enforcement를 조용히 건너뛰었습니다. 값을 동적으로 계산하거나 다른 system의 설정을 받는 application은 지나치게 큰 body를 받아 memory와 CPU를 소진할 수 있었습니다. Patched version은 안전하지 않은 설정을 받아들이는 대신 parser 생성 시점에 예외를 던집니다. Upgrade와 함께 설정된 body limit을 검증하는 startup test를 추가해야 합니다.

WebMCP는 agent가 screenshot, accessibility tree, raw DOM을 해석하게 하는 대신 page가 schema-typed, route-scoped tool을 노출하도록 제안합니다. MCP wire protocol은 아니며 JSON-RPC transport가 없고 unattended automation이 아니라 human-in-the-loop를 명시적으로 지향합니다. Imperative tool은 document.modelContext를 통해 등록하고 declarative form은 control에서 schema를 만들 수 있으며, toolautosubmit이 없으면 human click을 요구합니다. Cross-origin 등록은 기본적으로 꺼져 있고 Permissions Policy로 위임해야 합니다. 현재 Chrome origin trial의 실험적 W3C Community Group 초안이므로 production 도입보다 prototype과 feedback에 적합합니다.

Auth0 Next.js SDK v4는 App Router의 server-first 실행 모델에 인증을 맞춥니다. Shared Auth0Client와 proxy.ts가 legacy auth route handler를 대체하고, getSession()은 Server Component와 Server Action 안에서 encrypted cookie를 직접 읽습니다. 중요한 경계는 모든 Server Action이 인증을 다시 수행해야 한다는 점입니다. 각 action은 독립적으로 실행되며 page가 rendering된 뒤 session이 바뀔 수 있습니다. Layout guard는 private route group에 적합하지만 민감한 path가 빠지지 않도록 proxy matcher를 보안 정책으로 검토해야 합니다. Client-side useUser()는 표현에만 쓰고 인가나 protected mutation에는 사용하면 안 됩니다.