40주차에는 Next.js와 TanStack Start 보안 수정, SvelteKit 3 마이그레이션, Vinext 호환성, ESLint 타입과 에이전트 지침 유지보수를 다룹니다. 개발자가 바로 활용할 수 있도록 정리했습니다.
calendar_todaysummarize2026년 40주차bolt중요 업데이트 3건
article
태그: 프레임워크 업데이트읽기_시간: 3분
Next.js 2026년 9월 보안 릴리스
Next.js가 Active LTS용 16.3.8과 Maintenance LTS용 15.5.27을 출시해 요청 위조, 캐시 오염, 정보 노출 문제를 수정했습니다. CVE-2026-94483은 공격자가 허용 목록의 원격 URL을 제어할 때 이미지 최적화에 영향을 주며, images.remotePatterns가 없는 애플리케이션에는 해당 문제가 발생하지 않습니다. 다른 수정은 자체 호스팅 Pages Router 캐시, 루트 catch-all 경로, dynamicParams를 우회하는 webpack 메타데이터 이미지 경로를 다루며, 마지막 문제는 Turbopack에 영향을 주지 않습니다. Cache Components에는 루트 매개변수와 Draft Mode 관련 누출도 있으며, 캐시 채우기가 겹치면 미공개 콘텐츠가 일반 응답에 포함될 수 있습니다. 해당 릴리스 계열을 업데이트하고 모든 배포의 위험이 같다고 가정하기보다 라우터, 빌드 도구, 캐시 설정, 개발 서버 노출을 권고문과 대조해야 합니다.
작성자: Josh Story; Karim Rahal; Sebastian Silbermann
SvelteKit 3.0은 프레임워크 설정을 vite.config.ts로 옮기고 $lib 별칭을 표준 subpath imports를 사용하는 #lib로 바꿉니다. npx sv migrate sveltekit-3 --tasks all --confirm마이그레이션 명령은 지원되는 변경을 자동으로 적용하고 완료하지 못한 작업은 TODO 목록으로 남깁니다. 이번 릴리스는 익숙한 프레임워크 모델을 유지하면서 환경 변수를 개편하고 service worker의 반복 코드를 줄이며 오류 처리를 개선합니다. Remote functions는 아직 완성되지 않았고, 이 기능에 필요한 Async Svelte 역시 experimental 플래그 뒤에 있습니다. 메이저 릴리스를 후속 확인이 필요한 마이그레이션으로 다루고, 실험적인 클라이언트·서버 기능 도입은 설정과 import 변경과 구분해서 진행해야 합니다.
TanStack은 Start 서버 함수 응답의 치명적인 reflected XSS 취약점을 CVE-2026-102989로 공개했습니다. 인증되지 않은 공격자가 만든 URL을 피해자가 열면 공격자 제어 HTML이 애플리케이션의 origin에서 실행될 수 있습니다. 권고문은 1.143.12부터의 영향받는 릴리스를 다루며, 수정 버전은 @tanstack/react-start 1.168.60, @tanstack/solid-start 1.168.57, @tanstack/vue-start 1.168.56입니다. 의존성과 lockfile을 업데이트한 뒤 실제로 해석된 @tanstack/start-server-core가 1.169.39 이상인지 확인해야 합니다. 로컬 패키지 설치나 엣지 완화 조치만으로 실행 중인 서버가 수정되지는 않으므로 애플리케이션을 다시 빌드하고 배포해야 합니다.
Intent 0.5는 라이브러리 유지보수자가 패키지의 SKILL.md 지침을 실제 코드와 일치시키는 작업 흐름을 제공합니다. validate 명령은 예제를 실행하지 않고 TypeScript 컴파일러로 코드 블록의 누락된 export, 잘못된 옵션, 문법 오류, 타입 불일치를 검사합니다. TypeScript나 사용 가능한 진입점 타입이 없으면 생략된 검사를 명시적으로 보고하므로, 성공처럼 보이는 실행을 완전한 검증으로 받아들이면 안 됩니다. 유지보수 검토는 소스 변경과 지침을 연결하고, 소스 해시를 기준으로 수정 또는 변경 없음 결정을 기록합니다. 라이브러리 버전과 함께 지침을 배포하면 추적성은 좋아지지만 정확성이 보장되지는 않으므로, CI 검사와 제안된 수정에 대한 사람의 검토를 함께 적용해야 합니다.
David Bushell은 정적 사이트 생성기를 Deno에서 Node 26.10.0으로 옮기며 파일 시스템·경로 API를 교체하고 Hono의 Node 서버 어댑터를 사용한 경험을 설명합니다. 해당 프로젝트에서 빌드가 15% 빨라졌다고 보고하지만 통제된 런타임 비교 실험은 없으므로, 일반적인 성능 순위가 아닌 마이그레이션 사례로 읽어야 합니다. Node의 타입 제거는 node_modules 내부 TypeScript에 적용되지 않아 패키지 코드를 tsdown으로 번들링했습니다. 패키지 릴리스 대기 시간과 의존성 신뢰 설정도 다루며, 대기 기간을 크게 늘렸을 때 생긴 의존성 해석 문제를 설명합니다. 런타임을 바꾸기 전에 실제 API, 배포 형식, 의존성 정책을 점검하고 같은 작업을 직접 측정하는 것이 이 사례의 실용적인 교훈입니다.
ESLint 10.12.0은 getText, getLoc, getRange 등 SourceCode 메서드의 공개 타입과 문서를 바로잡습니다. 이 메서드는 런타임에서 이미 노드, 토큰, 주석을 받았으며, 이번 변경은 선언된 계약을 실제 동작과 일치시킵니다. 일반 호출자는 그대로 동작하더라도 TypeScript 구현과 mock에는 더 넓은 시그니처가 필요할 수 있습니다. 또한 언어 플러그인 기본 인터페이스를 정렬하고 consistent-return, no-eval, prefer-exponentiation-operator 등의 경계 사례를 수정합니다. 플러그인 유지보수자는 타입 계약 수정과 새로운 런타임 기능을 구분하고, 공용 lint 설정을 업데이트하기 전에 사용자 정의 구현과 변경된 진단·자동 수정을 자체 fixture로 확인해야 합니다.
James Q Quick은 Vinext 1.0을 Next.js API를 다시 구현하는 Vite 플러그인으로 설명하며, Next.js 빌드 출력을 다른 런타임에 맞추는 OpenNext와 구분합니다. 영상은 App Router, Pages Router, server actions, route handlers, incremental static regeneration을 다룹니다. Cache Components와 use cache는 지원되지 않으며, 제시된 호환성 비율은 모든 애플리케이션이 아니라 테스트한 기능 집합을 뜻합니다. 캐시를 미리 채우는 배포 흐름은 프로덕션 트래픽 전환 전에 페이지를 준비하지만, 발표자는 전체 시간상의 절충을 입증하지 않습니다. Quick이 Cloudflare 직원임을 밝힌 만큼 공급업체 관계자의 소개로 받아들이고, 실제 애플리케이션의 API 목록과 배포 테스트로 이식성을 판단해야 합니다.
Next.js가 Active LTS용 16.3.8과 Maintenance LTS용 15.5.27을 출시해 요청 위조, 캐시 오염, 정보 노출 문제를 수정했습니다. CVE-2026-94483은 공격자가 허용 목록의 원격 URL을 제어할 때 이미지 최적화에 영향을 주며, images.remotePatterns가 없는 애플리케이션에는 해당 문제가 발생하지 않습니다. 다른 수정은 자체 호스팅 Pages Router 캐시, 루트 catch-all 경로, dynamicParams를 우회하는 webpack 메타데이터 이미지 경로를 다루며, 마지막 문제는 Turbopack에 영향을 주지 않습니다. Cache Components에는 루트 매개변수와 Draft Mode 관련 누출도 있으며, 캐시 채우기가 겹치면 미공개 콘텐츠가 일반 응답에 포함될 수 있습니다. 해당 릴리스 계열을 업데이트하고 모든 배포의 위험이 같다고 가정하기보다 라우터, 빌드 도구, 캐시 설정, 개발 서버 노출을 권고문과 대조해야 합니다.
James Q Quick은 Vinext 1.0을 Next.js API를 다시 구현하는 Vite 플러그인으로 설명하며, Next.js 빌드 출력을 다른 런타임에 맞추는 OpenNext와 구분합니다. 영상은 App Router, Pages Router, server actions, route handlers, incremental static regeneration을 다룹니다. Cache Components와 use cache는 지원되지 않으며, 제시된 호환성 비율은 모든 애플리케이션이 아니라 테스트한 기능 집합을 뜻합니다. 캐시를 미리 채우는 배포 흐름은 프로덕션 트래픽 전환 전에 페이지를 준비하지만, 발표자는 전체 시간상의 절충을 입증하지 않습니다. Quick이 Cloudflare 직원임을 밝힌 만큼 공급업체 관계자의 소개로 받아들이고, 실제 애플리케이션의 API 목록과 배포 테스트로 이식성을 판단해야 합니다.
SvelteKit 3.0은 프레임워크 설정을 vite.config.ts로 옮기고 $lib 별칭을 표준 subpath imports를 사용하는 #lib로 바꿉니다. npx sv migrate sveltekit-3 --tasks all --confirm마이그레이션 명령은 지원되는 변경을 자동으로 적용하고 완료하지 못한 작업은 TODO 목록으로 남깁니다. 이번 릴리스는 익숙한 프레임워크 모델을 유지하면서 환경 변수를 개편하고 service worker의 반복 코드를 줄이며 오류 처리를 개선합니다. Remote functions는 아직 완성되지 않았고, 이 기능에 필요한 Async Svelte 역시 experimental 플래그 뒤에 있습니다. 메이저 릴리스를 후속 확인이 필요한 마이그레이션으로 다루고, 실험적인 클라이언트·서버 기능 도입은 설정과 import 변경과 구분해서 진행해야 합니다.
TanStack은 Start 서버 함수 응답의 치명적인 reflected XSS 취약점을 CVE-2026-102989로 공개했습니다. 인증되지 않은 공격자가 만든 URL을 피해자가 열면 공격자 제어 HTML이 애플리케이션의 origin에서 실행될 수 있습니다. 권고문은 1.143.12부터의 영향받는 릴리스를 다루며, 수정 버전은 @tanstack/react-start 1.168.60, @tanstack/solid-start 1.168.57, @tanstack/vue-start 1.168.56입니다. 의존성과 lockfile을 업데이트한 뒤 실제로 해석된 @tanstack/start-server-core가 1.169.39 이상인지 확인해야 합니다. 로컬 패키지 설치나 엣지 완화 조치만으로 실행 중인 서버가 수정되지는 않으므로 애플리케이션을 다시 빌드하고 배포해야 합니다.
Intent 0.5는 라이브러리 유지보수자가 패키지의 SKILL.md 지침을 실제 코드와 일치시키는 작업 흐름을 제공합니다. validate 명령은 예제를 실행하지 않고 TypeScript 컴파일러로 코드 블록의 누락된 export, 잘못된 옵션, 문법 오류, 타입 불일치를 검사합니다. TypeScript나 사용 가능한 진입점 타입이 없으면 생략된 검사를 명시적으로 보고하므로, 성공처럼 보이는 실행을 완전한 검증으로 받아들이면 안 됩니다. 유지보수 검토는 소스 변경과 지침을 연결하고, 소스 해시를 기준으로 수정 또는 변경 없음 결정을 기록합니다. 라이브러리 버전과 함께 지침을 배포하면 추적성은 좋아지지만 정확성이 보장되지는 않으므로, CI 검사와 제안된 수정에 대한 사람의 검토를 함께 적용해야 합니다.
David Bushell은 정적 사이트 생성기를 Deno에서 Node 26.10.0으로 옮기며 파일 시스템·경로 API를 교체하고 Hono의 Node 서버 어댑터를 사용한 경험을 설명합니다. 해당 프로젝트에서 빌드가 15% 빨라졌다고 보고하지만 통제된 런타임 비교 실험은 없으므로, 일반적인 성능 순위가 아닌 마이그레이션 사례로 읽어야 합니다. Node의 타입 제거는 node_modules 내부 TypeScript에 적용되지 않아 패키지 코드를 tsdown으로 번들링했습니다. 패키지 릴리스 대기 시간과 의존성 신뢰 설정도 다루며, 대기 기간을 크게 늘렸을 때 생긴 의존성 해석 문제를 설명합니다. 런타임을 바꾸기 전에 실제 API, 배포 형식, 의존성 정책을 점검하고 같은 작업을 직접 측정하는 것이 이 사례의 실용적인 교훈입니다.
ESLint 10.12.0은 getText, getLoc, getRange 등 SourceCode 메서드의 공개 타입과 문서를 바로잡습니다. 이 메서드는 런타임에서 이미 노드, 토큰, 주석을 받았으며, 이번 변경은 선언된 계약을 실제 동작과 일치시킵니다. 일반 호출자는 그대로 동작하더라도 TypeScript 구현과 mock에는 더 넓은 시그니처가 필요할 수 있습니다. 또한 언어 플러그인 기본 인터페이스를 정렬하고 consistent-return, no-eval, prefer-exponentiation-operator 등의 경계 사례를 수정합니다. 플러그인 유지보수자는 타입 계약 수정과 새로운 런타임 기능을 구분하고, 공용 lint 설정을 업데이트하기 전에 사용자 정의 구현과 변경된 진단·자동 수정을 자체 fixture로 확인해야 합니다.
이번 주 프레임워크 유지보수는 서로 다른 두 보안 조치에서 시작합니다. Next.js 패치는 이미지 설정, 라우터, bundler, 캐시 동작에 따라 달라지고, TanStack Start의 reflected XSS 수정은 실제로 해석된 서버 패키지 확인과 재배포가 필요합니다. 의존성 업데이트를 완료로 판단하기 전에 영향받는 실행 환경에 패치를 적용해야 합니다.
릴리스 이름만큼 마이그레이션의 경계도 중요합니다. SvelteKit 3는 설정과 import 변경을 자동화하지만 후속 작업을 남기고, Remote functions는 여전히 실험적인Async Svelte에 의존합니다. Vinext는 Next.js API 호환성의 다른 경로를 제공하지만 캐시 기능의 미지원과 공급업체 관계자의 시연이라는 조건을 고려해 앱별 테스트가 필요합니다.
나머지 이야기는 도구의 계약으로 연결됩니다. ESLint는 사용자 정의 구현이 따라야 할 타입을 수정하고, Intent는 패키지 지침과 소스의 일치를 검사하며, Deno에서 Node로 옮긴 사례는 배포 형식과 의존성 정책의 비용을 드러냅니다. 보고된 속도 개선과 자동 검사를 범위가 제한된 증거로 보고 실제 애플리케이션의 전제를 검증해야 합니다.
핵심 요점
TanStack Start의 실제 서버 의존성과 재배포까지 포함해 실행 중인 애플리케이션의 수정 버전을 확인해야 합니다.
