Nuxt 4.5.1 と 3.21.10 がセキュリティパッチとして公開された。server island props 経由のサーバー側 RCE と不正なコンポーネント生成、route rule 認可バイパス、サーバーコンポーネント DoS、キャッシュページ上のクロスユーザー payload 漏洩、dev server のパス開示などを修正する。lockfile を更新すると @nuxt/devtools@3.3.1 も入り、開発時のみの Critical RCE（DevTools の未認証 RPC）も直る。
CVE-2026-53721（route rule）向けに 4.4.7+ / 3.21.7+ へ上げ済みでも、その修正由来の回帰を含むため本パッチは必要である。cache / swr / isr を使っている場合は、アップグレード後に CDN / edge キャッシュをパージする。漏洩した _payload.json が上流に残っていることがある。
bash
npx nuxt upgrade --dedupe影響の要点：
- server island（
/__nuxt_island/）:vue.runtimeCompiler: true時のtemplate注入によるサーバー側 RCE、動的コンポーネント解決への props 転送による任意コンポーネント生成、ハッシュ検証前の巨大ボディによる未認証 DoS - route rule: 大文字小文字の取り扱いに起因する認可ゲート抜け
- DevTools 3.3.1:
nuxt devで有効なとき、Vite HMR ソケット経由の未認証コマンド実行（本番には影響しない）
対処はパッチ版への更新が本線である。アップグレード不能な古いライン向けに Socket の Certified Patches が案内されているが、正規のアップグレードが推奨される。