Nuxt 4.6.4 ist ein Sicherheitsrelease: acht Nuxt-Advisories, drei weitere über Nitro 2.13.6
Victoria Shinder1 Min. LesezeitDas Nuxt-Team hat am 2. November Version 4.6.4 veröffentlicht und bezeichnet sie als Sicherheitsrelease. Sie behebt acht Advisories in Nuxt selbst und zieht nitropack 2.13.6 nach, das drei weitere in Nitro schließt, der Server-Engine unter Nuxt. Das Team empfiehlt ein schnelles Update.
Die Versionshinweise nennen fünf Verhaltensänderungen, die laut Team die meisten Apps wohl nicht betreffen. Scheitert das Rendern einer Seite auf dem Server, enthalten Fehlerseite und Payload nur noch Nachricht und Daten von Fehlern, die mit createError erzeugt wurden; alles andere wird entfernt. Die Dev-Server von Webpack und Rspack lehnen Anfragen mit unerwartetem Host-Header ab, wie es Vite bereits tat; eigene Hostnamen und Tunnel gehören in die neue Option devServer.allowedHosts. Ist workspaceDir nicht gesetzt, erweitert Nuxt es über rootDir hinaus nur noch bis zu einer ausdrücklich deklarierten Workspace-Wurzel oder dem nächsten Git-Repository.
Die übrigen zwei betreffen Routenregeln in Nitro. Cache-, swr- und isr-Regeln speichern nur noch GET- und HEAD-Anfragen und keine Antworten mehr, die ein Cookie setzen oder Cache-Control private oder no-store senden; Platzhalter-Regeln für proxy und redirect weisen Anfragen ab, deren aufgelöstes Ziel den Geltungsbereich der Regel verließe. Und Routenregeln greifen nun auch bei kodierten Schrägstrichen, eine Regel /api/** erfasst also /api%2Fadmin. Zudem vertraut Nitro x-forwarded-proto nur noch, wenn das eingeschaltet ist.
Was das bedeutet
Die meisten Korrekturen schließen Lücken zwischen dem, was eine Regel abdecken sollte, und dem, was sie tatsächlich traf. Apps, die sich zum Schutz auf eine Routenregel verlassen oder Seiten mit Cookies per Cache-Regel ausliefern, sollten ihr Verhalten nach dem Update prüfen, denn genau dort verhält sich die Version anders.