30秒で判断
- 対応すべき人: Nuxt でサーバーサイドレンダリングや server islands を利用している、または
cache/swr/isrの route rule を使っているすべての利用者。3系利用者も 4系への移行を前提に対応が必要です。 - 対応不要な人: Nuxt を本番で使用していない、または既に 4.5.1 以降へアップグレード済みの場合。
- 確認コマンド:
npx nuxt --versionまたはnpm ls nuxtで現在のバージョンを確認。
この変更が意味すること
Nuxt v4.5.1 は「セキュリティリリース」として公開された緊急アップデートです。サーバーサイドのリモートコード実行（RCE）を筆頭に、認可バイパスや情報漏洩など複数の深刻な脆弱性が一度に修正されています。公式も npx nuxt upgrade --dedupe によるできるだけ早いアップグレードを推奨しています。
重要なのは、以前に route rule のアドバイザリ（CVE-2026-53721）向けにアップグレード済みの環境でも、本リリースが必須である点です。今回の修正の一つは、そのCVE対応時に混入したリグレッションに対処しているためです。
主な変更点
サーバーサイドRCE / 不正なコンポーネントインスタンス化
server island の props を経由した、サーバーサイドでのRCEおよびコンポーネントの不正なインスタンス化を修正しました。
route rule の認可バイパス
route rule による認可制御をバイパスできる問題を修正しました。前述のとおり、過去のCVE対応で生じたリグレッションの修正も含みます。
server component の DoS / 情報漏洩
server component に対する DoS、およびキャッシュ済みページからのクロスユーザーなペイロード情報漏洩を修正しました。開発サーバーでのパス情報の開示も対象です。
開発環境限定RCE（devtools）
ロックファイルを更新すると @nuxt/devtools@3.3.1 が取り込まれ、開発環境限定の別のクリティカルなRCEが修正されます。
EOL / サポート状況
| サイクル | 最新 | ステータス | EOL |
|---|---|---|---|
| 4 | 4.5.1 | サポート中 | 未定 |
| 3 | 3.21.x | まもなくEOL | 2026-07-31 |
| 2 | 2.18.1 | EOL | 2024-06-30 |
Nuxt 3系のEOLは2026年7月31日に迫っています。今回のセキュリティ対応を機に、4系への移行計画を具体化することを強くおすすめします。
開発者への影響
npx nuxt upgrade --dedupeを実行し、ロックファイルを更新して devtools の修正版も取り込む。cache/swr/isrの route rule を利用している場合、アップグレード後にCDN・エッジのキャッシュをパージする。漏洩したペイロード抽出データ（Nuxt のペイロードキャッシュ）が上流にキャッシュされている可能性がある。- 過去にCVE-2026-53721向けの更新を済ませていても、本リリースの適用は必須。
アップデート方法
npx nuxt upgrade --dedupe
# 依存の更新後、ビルド・動作確認を実施
データソース: GitHub Releases API, endoflife.date, npm Registry AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。