Next.js가 외부 공격자가 앱 서버에서 코드를 실행할 수 있는 취약점 두 건을 10월 14일 공개한 15.5.28과 16.4.1에서 수정했어요. 하나는 App Router에서 계산 결과를 저장해 재사용하는 Cache Components와 관련돼요. use cache 함수가 정해진 종류의 숫자 데이터를 담는 typed array를 여러 개 반환할 때, 인증 없는 원격 코드 실행으로 이어질 수 있습니다.

다른 하나는 SVG 이미지 최적화에 쓰는 외부 라이브러리의 메모리 문제예요. 이 취약점은 glibc 기반 Linux에서 실행하는 Next.js에 영향을 줍니다.

• Cache Components 관련 문제에는 알려진 우회 방법이 없어요. 공식 공지는 비슷한 함수가 보이지 않더라도 즉시 업데이트하도록 안내했습니다.

브라우저는 인증기관이 서명한 HTTPS 인증서로 접속한 사이트가 맞는지 확인해요. eMudhra에서는 사이트 인증서에 서명하는 중간 인증기관(CA)의 인증서 8개에 해당하는 개인 키가 유출됐습니다. 이 키로 다른 사이트의 인증서를 위조할 수 있고, 공격자가 연결을 가로챌 수 있다면 사이트를 사칭해 통신을 읽거나 바꿀 수 있어요.

Mozilla는 Firefox에 더 이상 신뢰하면 안 되는 인증서 목록을 전달하는 OneCRL로 해당 인증서를 차단했어요. 기본 설정의 Firefox는 업데이트나 재시작 없이 보호받습니다.

• OneCRL 수신을 막은 설정의 Firefox에는 별도 업데이트가 제공됐어요. 인증서 폐기 정보를 받지 않는 다른 앱에도 소프트웨어 업데이트가 필요합니다.

Cloudflare와 VoidZero가 TypeScript 컴파일러를 Rust로 옮기는 tsrs를 공동 개발하고 있어요. TypeScript 팀과 협력해 언어의 동작은 유지하면서, 타입 검사에 드는 시간과 메모리를 줄이려는 프로젝트입니다.

발표팀이 타입 검사를 나눠 처리하는 워커 수를 같게 맞춘 초기 벤치마크에서는 TypeScript 7.0보다 최대 8배 빠르고 메모리를 약 70% 적게 썼어요. 장비에 따라 달라지는 tsrs의 기본 설정을 그대로 사용한 비교는 아닙니다.

• 발표 당시 tsrs는 실험 단계였어요. 오류를 알리는 메시지가 나오는 순서 등 원본과 다른 동작이 남아 있어, 호환성이 완성된 상태는 아니었습니다.

Vue나 Svelte 파일에는 화면 마크업과 JavaScript·TypeScript 코드가 함께 들어 있어요. 이런 파일을 타입 검사하려면 코드 부분을 TypeScript에 전달하고, 발견한 오류를 원래 파일의 위치와 연결해야 합니다.

TypeScript 7.1 beta에는 이 역할을 맡는 content mapper 플러그인을 연결할 수 있는 기반이 추가됐어요. 그동안 연결 방식이 달랐던 에디터와 명령줄 검사 도구인 tsc가 같은 연동 방식을 쓸 수 있게 한 겁니다.

• 프레임워크 파일을 바로 검사하는 완성된 내장 기능은 아니며, 별도 mapper 패키지가 필요해요. 프레임워크별 mapper도 당시 프로토타입 또는 구현 단계였습니다.
• 공식 예시에 나온 @vue/content-mapper는 당시 npm에 공개되지 않았어요.

VoidZero가 비공개로 준비하던 공용 서비스의 방향을 바꿔 Void를 오픈소스로 공개했어요. 앱을 만드는 SDK와 배포 명령을 실행하는 CLI, 팀이 함께 쓰는 배포 플랫폼 전체가 공개 대상입니다.

조직이 자기 Cloudflare 계정에 플랫폼을 직접 설치해 운영하면, 구성원에게 계정 접근 권한을 각각 주지 않고도 함께 제공되는 Void SDK·CLI로 앱을 배포하도록 허용할 수 있어요. 관리자는 구성원의 접근 권한과 자원 한도를 정할 수 있습니다.