Das Nuxt-Team hat Ende Juli 2026 insgesamt acht Sicherheitslücken in einem koordinierten Advisory-Paket geschlossen. Die schwerwiegendste Lücke in DevTools (GHSA-279x-mwfv-vcqv, Critical) ermöglicht Remote Code Execution in Entwicklungsumgebungen und wurde in Nuxt DevTools 3.3.1 behoben. Ebenfalls hochkritisch ist die Server-Side-RCE via Server Island Props (GHSA-9473-5f9j-94wq), für die Vercel nach eigenem Bekunden vorab informiert wurde und plattformweit WAF-Regeln ausrollte – noch vor der öffentlichen Bekanntmachung. Bemerkenswert ist eine Regression: Nutzer, die bereits für das frühere Route-Rule-Advisory CVE-2026-53721 upgegraded hatten, sind dennoch von einem neu entdeckten Authorization-Bypass (GHSA-hxvh-4h3w-prp9) betroffen, da dieser ein Folgefehler des ursprünglichen Fixes ist. Zusätzlich existiert eine High-Severity-Lücke (GHSA-wm8w-6qjm-cv43), die ausschließlich Nuxt-4-Installationen ab Version 4.4.0 betrifft und bei gecachten, authentifizierten Seiten zur Cross-User-Offenlegung von Payload-Daten führen kann – betroffene Betreiber müssen vorgelagerte Caches aktiv leeren. Vercel betont ausdrücklich, dass die WAF-Mitigationen nur den direkten RCE-Angriffsvektor abdecken und kein Ersatz für das Software-Update sind.